Cuando un grupo de ransomware entra en una red corporativa, lo primero que busca no son los archivos: es la copia de seguridad. Un análisis del equipo Counter Threat Unit de Sophos sobre 15 intrusiones del grupo The Gentlemen, que la prensa especializada recogió el 3 de septiembre de 2026, documenta las órdenes exactas con las que los atacantes apagan el respaldo antes de cifrar nada. Y deja claro por qué el respaldo inmutable dejó de ser una recomendación de manual: es lo único que el atacante no puede apagar con las credenciales que ya tiene.
Dos días de media, y a veces menos de uno
Sophos rastrea a este grupo como GOLD SHERWOOD. Opera como servicio —afiliados que alquilan la herramienta— y practica la doble extorsión: primero roba la información, después la cifra. Lo relevante para quien administra un respaldo es el reloj:
«El tiempo medio entre la primera actividad observada tras el compromiso y el despliegue del ransomware fue de aproximadamente dos días. El tiempo de permanencia más corto fue de menos de 24 horas.»
Counter Threat Unit, Sophos
Dos días es menos de lo que muchas empresas tardan en aprobar un cambio. Y el volumen creció rápido: durante el resto de 2025 el grupo publicó menos de 20 víctimas al mes; a comienzos de 2026 la media superó las 75. Al cierre de julio de 2026 acumulaba 683 nombres en su sitio de filtraciones, 169 de ellos solo en julio.
La puerta de entrada de uno de los incidentes analizados no tiene nada de sofisticado: credenciales robadas contra el servicio SSL VPN de un firewall Fortinet. Los investigadores lo anotan sin rodeos: «la ausencia de MFA permitió al actor obtener acceso mediante credenciales robadas o adivinadas por fuerza bruta».
Tres órdenes bastan para dejarlo sin copias
Los atacantes no rompen el producto de respaldo. No hace falta. Con una cuenta de administrador del dominio, apagan el servicio de Windows que lo ejecuta. Sophos recogió las órdenes literales:
sc config VeeamBackupSvc start= disabled sc config SQLWriter start= disabled sc config BackupExecAgent start= disabled
Traducido: el motor de copia, el componente que permite respaldar bases de datos en caliente y el agente del otro producto de respaldo quedan desactivados, en ese orden y en segundos. A partir de ahí, cifrar es un trámite.
No es una técnica nueva ni exclusiva de este grupo. Cuando Trend Micro analizó a The Gentlemen en septiembre de 2025, contabilizó cerca de 60 servicios que el cifrador intenta detener uno por uno —entre ellos VeeamTransportSvc, VeeamDeploymentService, VeeamNFSSvc, AcronisAgent y AcrSch2Svc—, además de borrar las instantáneas de volumen de Windows con vssadmin delete shadows /all /quiet. Aquella campaña alcanzó a víctimas de 17 países, con la manufactura, la construcción, la salud y los seguros a la cabeza.
La copia que sobrevive es la que no se puede apagar
Si el ataque se ejecuta con las credenciales de su administrador, todo lo que esa cuenta puede detener, borrar o cifrar hay que darlo por perdido. Sobrevive lo demás: una copia inmutable —que no admite borrado ni modificación durante un plazo fijado, ni siquiera por el administrador— o una copia fuera de línea, desconectada del dominio.
Ahí aparece el hueco. Una encuesta de Object First a 500 responsables de TI estadounidenses, publicada en abril de 2026, encontró que el 79 % teme precisamente que un ataque alcance sus copias de seguridad, pero solo el 58 % usa almacenamiento de respaldo inmutable. Y apenas el 53 % se declara plenamente confiado en poder recuperarse rápido.
Dicho de otro modo: cuatro de cada diez organizaciones tienen todas sus copias al alcance de una sola cuenta comprometida.
Que un trabajo de copia deje de reportar es un incidente
Hay un detalle del informe que cambia la forma de mirar el tablero de respaldos: en uno de los incidentes, el atacante borró los registros de Aplicación, Sistema y Seguridad en varios equipos. Antes de eso había desactivado servicios y cambiado contraseñas administrativas.
El silencio, entonces, también es una señal. Un servicio de respaldo detenido, un trabajo que deja de reportar o una consola que lleva dos noches sin registrar nada no son tareas de mantenimiento para el lunes: son la última alerta que llegará antes del cifrado. Quien vigila la infraestructura tiene que tratarlas como un incidente, con alguien de guardia que responda.
Cinco preguntas para esta semana
- ¿Su VPN y la administración del firewall exigen doble factor? Fue el punto de entrada documentado, y es la corrección más barata de todas.
- ¿Existe una copia que su propio administrador no pueda borrar? Si la respuesta es no, no tiene un respaldo inmutable: tiene una copia más.
- ¿El servidor de respaldo usa credenciales distintas a las del dominio? Si comparte cuenta con el resto, cae con el resto.
- ¿Quién se entera, y en cuánto tiempo, si el servicio de copia se detiene? Un nombre y unos minutos, no un correo automático a una lista.
- ¿Cuándo fue la última restauración real? Es la única prueba de que las copias sirven; lo tratamos en detalle en este artículo sobre la brecha entre confiar y recuperar.
Ninguna de las cinco exige comprar nada nuevo. Exigen que alguien las responda con datos y deje constancia. En KHARONTE eso es parte del servicio de continuidad operativa y respaldo —copias verificadas, restauraciones probadas y documentadas— y del monitoreo de la infraestructura, que es quien nota el silencio a tiempo.
Fuentes consultadas
- Sophos Counter Threat Unit, «Ungentlemanly behavior: insights into a ransomware operation»: análisis de 15 intrusiones del grupo rastreado como GOLD SHERWOOD.
- Blog elhacker.NET, «Ransomware The Gentlemen desactiva EDR y copias de seguridad antes de cifrar redes en menos de 24 horas», 3 de septiembre de 2026.
- Trend Micro, «Unmasking The Gentlemen Ransomware: Tactics, Techniques, and Procedures Revealed», 9 de septiembre de 2025.
- IT User, «Menos del 60 % de las empresas utiliza copias de seguridad inmutables», 1 de abril de 2026, sobre la encuesta de Object First a 500 responsables de TI.
- Cyber Security News, «The Gentlemen Ransomware Hackers Disable EDR and Backups Before Encrypting Networks in Under 24 Hours».
- Imagen destacada: Mister rf, Magnetic-tape data storage, CC BY-SA 4.0, vía Wikimedia Commons.
