Telemadrid sufrió un ataque masivo de ransomware que afectó a sus sistemas de producción y llegó a comprometer la emisión. La cadena pudo recuperar sus sistemas críticos sin pagar un rescate apoyándose en su infraestructura de copias de seguridad y en el trabajo conjunto con SoftwareOne. El caso deja una lección que va más allá de esta televisión: tener backup no garantiza poder recuperarse de un ransomware si el atacante consigue cifrar también las copias.

Las claves del ataque de ransomware a Telemadrid en 20 segundos

• El ransomware afectó a la emisión y cifró sistemas de producción de Telemadrid.
• Las copias almacenadas en Dell Data Domain resistieron el ataque.
• La recuperación pudo realizarse inicialmente de forma local, incluso con las comunicaciones afectadas.
• Telemadrid no pagó rescate y recuperó sus sistemas críticos.
• La arquitectura incorporaba además una copia externa mediante Azure Cloud Tier.

La recuperación de un ciberataque de este tipo resulta especialmente complicada en una televisión. No basta con recuperar documentos o aplicaciones administrativas. Hay sistemas de producción y emisión que funcionan las 24 horas y cuya indisponibilidad afecta directamente al servicio.

Según el caso de éxito publicado por SoftwareOne, los atacantes cifraron sistemas de producción y afectaron a la emisión. Los daños potenciales fueron valorados en millones de euros. La cadena necesitaba además recuperar el acceso a su infraestructura mientras parte de las comunicaciones estaba comprometida.

La diferencia estuvo en que el ransomware no consiguió inutilizar también las copias utilizadas para la recuperación.

Cuando el ransomware intenta llegar también al backup

Los ataques modernos de ransomware no siempre se limitan a buscar servidores y ordenadores para cifrarlos.

Los delincuentes saben que una organización con copias recuperables tiene muchos menos incentivos para pagar. Por eso un objetivo especialmente valioso durante un ataque es la propia infraestructura de backup.

Eliminar copias, cifrarlas o conseguir las credenciales administrativas de la plataforma de protección puede dejar a la víctima sin una alternativa rápida para recuperar los sistemas.

En Telemadrid se utilizaban sistemas Dell PowerProtect Data Domain DD6400 junto con Data Protection Suite. Las copias locales almacenadas en esta infraestructura no fueron comprometidas por el ransomware, según la información publicada por SoftwareOne.

Eso permitió que el proceso de recuperación se realizase desde almacenamiento local.

La diferencia resulta importante.

Si una organización tiene que recuperar varios terabytes desde una nube externa mientras sus comunicaciones están afectadas, el ancho de banda puede convertirse en un nuevo cuello de botella. Una copia remota protege frente a determinados desastres, pero no siempre es el mecanismo más rápido para restaurar grandes cantidades de información.

En este caso el equipo pudo transferir los datos directamente desde Data Domain hacia la infraestructura reconstruida.

Los servidores afectados tampoco fueron simplemente restaurados y conectados nuevamente a producción.

SoftwareOne explica que se instalaron sistemas desde cero dentro de un entorno aislado y que las máquinas virtuales recuperadas fueron verificadas antes de volver a incorporarse a la infraestructura de Telemadrid.

La cadena recuperó el acceso completo a la consola después de 48 horas y posteriormente fue restableciendo los diferentes servicios productivos.

Según el caso publicado, se recuperó el 100 % de la información considerada crítica y no se pagó dinero a los extorsionadores.

Una segunda capa fuera del centro de datos

La arquitectura incorporaba además Azure Cloud Tier.

El planteamiento consistía en trasladar datos históricos y copias más antiguas hacia Microsoft Azure, creando una segunda capa de protección fuera del centro de datos principal.

Esta separación tiene una utilidad diferente de la copia local.

La infraestructura local proporciona velocidad de recuperación. Una copia geográficamente separada protege frente a escenarios en los que el problema afecta al propio centro de datos: incendios, inundaciones, daños físicos graves o pérdida completa de las instalaciones.

Combinar diferentes ubicaciones y tecnologías se aproxima al principio conocido como regla 3-2-1 del backup: mantener tres copias de la información, almacenadas en al menos dos tipos o sistemas diferentes y conservar una de ellas fuera de la ubicación principal.

En los últimos años este planteamiento se ha reforzado con conceptos como inmutabilidad y aislamiento.

Una copia inmutable impide que los datos puedan modificarse o eliminarse durante un periodo determinado, incluso aunque un atacante consiga determinados niveles de acceso al entorno.

El aislamiento o air gap, por su parte, intenta evitar que la infraestructura de producción y todas sus copias formen parte del mismo dominio de ataque.

No todas las soluciones denominadas air-gapped están físicamente desconectadas. Existen arquitecturas lógicas que buscan proporcionar niveles similares de separación. Lo relevante es que comprometer el sistema de producción no proporcione automáticamente capacidad para destruir todas las vías de recuperación.

Para David Carrero Fernández-Baillo, cofundador de Stackscale (Grupo Aire) y experto en infraestructura cloud, esa separación es precisamente una de las principales enseñanzas del incidente:

“El detalle que marca la diferencia aquí no es solo tener backup, sino que las copias resistieran al propio ataque. El error clásico en ransomware es que el cifrado alcanza también a las copias de seguridad; por eso la inmutabilidad (WORM) y una capa aislada son las que permiten recuperar sin pagar rescate”.

Carrero pone además el foco en dos indicadores que pueden parecer similares, pero miden problemas diferentes: RPO y RTO.

El objetivo de punto de recuperación (RPO) determina cuántos datos puede permitirse perder una organización. El objetivo de tiempo de recuperación (RTO) establece cuánto puede tardar en volver a funcionar.

En una televisión que emite permanentemente, el segundo puede resultar especialmente exigente.

“Con una emisión 24/7 de por medio, lo crítico no es solo el RPO sino el RTO: cada minuto sin restaurar es señal caída”, señala Carrero.

Un backup que nunca se restaura puede dar una falsa sensación de seguridad

El caso de Telemadrid también recuerda una diferencia básica entre hacer copias y tener un sistema de recuperación.

Una organización puede generar backups diariamente durante años y descubrir durante un incidente que están corruptos, incompletos, cifrados, que faltan credenciales para utilizarlos o que el tiempo necesario para restaurarlos es incompatible con la continuidad del negocio.

Por eso las pruebas periódicas de restauración son una parte del proceso.

“Dos cosas suelen decidir un caso así: probar restauraciones de forma periódica, porque un backup no verificado no es un backup, y aplicar la regla 3-2-1 para que ninguna copia comparta el mismo dominio de fallo”, explica el cofundador de Stackscale.

La preparación incluye también conocer qué debe recuperarse primero.

No todos los servidores tienen la misma importancia. Identificar aplicaciones críticas, dependencias, bases de datos, servicios de identidad y orden de restauración puede reducir considerablemente el tiempo necesario para volver a operar.

El ransomware ha convertido así el backup en una parte de la estrategia de ciberseguridad y no solamente en una tarea de administración de sistemas.

Una política preparada para el borrado accidental de un archivo puede ser insuficiente ante un atacante que lleva días dentro de la red, obtiene privilegios administrativos y busca deliberadamente destruir las copias antes de lanzar el cifrado.

Telemadrid disponía además de un servicio gestionado de backup con supervisión permanente. Durante la crisis, el equipo de SoftwareOne se incorporó al protocolo dirigido por la cadena y trabajó de forma continuada hasta estabilizar el entorno.

El resultado permite extraer una enseñanza aplicable a organizaciones mucho más pequeñas.

La pregunta ya no debería ser únicamente “¿hay copia de seguridad?”. También hay que saber quién puede borrarla, si puede modificarse, dónde está almacenada, cuánto tarda en restaurarse y qué ocurre si el ransomware compromete simultáneamente los servidores y las comunicaciones.

Telemadrid consiguió responder a esas preguntas antes de tener que decidir si pagaba a los atacantes.

Como resume Carrero, “la ciberseguridad se juega en la preparación, no en la reacción”.

Preguntas frecuentes

¿Telemadrid pagó el rescate del ransomware?

No. Según el caso de éxito publicado por SoftwareOne, la cadena recuperó sus sistemas críticos sin realizar ningún pago a los extorsionadores.

¿Cómo consiguió recuperar sus datos Telemadrid?

Las copias locales almacenadas en sistemas Dell PowerProtect Data Domain no fueron comprometidas y permitieron realizar la recuperación local. La arquitectura disponía además de Azure Cloud Tier como segunda capa externa de protección.

¿Qué diferencia existe entre RPO y RTO?

El RPO determina la cantidad máxima de información que puede perderse desde la última copia recuperable. El RTO mide cuánto tiempo puede permanecer un servicio sin funcionar antes de ser restaurado.

¿Por qué la inmutabilidad es importante frente al ransomware?

Porque busca impedir que una copia pueda modificarse o eliminarse durante un periodo determinado. Esto dificulta que un atacante que compromete la infraestructura de producción destruya también todos los puntos desde los que podría recuperarse la organización.