Restaurar no és recuperar: dos de cada tres se'n surten amb la còpia i gairebé la meitat paga igual

Hi ha una dada a l'informe anual de ransomware de Sophos que en qualsevol altre any hauríem celebrat sense matisos: el 66% de les organitzacions a les quals van xifrar dades va recuperar des de les seves còpies de seguretat, dotze punts més que l'any passat. És un rebot fort: el 2025 va ser del 54%, el nivell més baix en sis anys segons el mateix informe. Just al costat n'hi ha una altra: el 48% va pagar el rescat. I una tercera que s'emporta la discussió per davant: el cost mitjà de recuperar-se va pujar un 11% fins a 1,7 milions de dòlars, sense comptar el rescat.

La lectura fàcil és que els tres números es contradiuen. Expliquen la mateixa història des de tres angles, i és una història que ens toca de prop: la còpia de seguretat, com a peça tècnica, ha recuperat gairebé tot el terreny que va perdre l'any passat. Al seu voltant continua havent-hi el mateix desordre de sempre. Restaurar un volum i recuperar una empresa són dues feines diferents, i només una de les dues surt a l'informe d'estat del backup d'ahir a la nit.

D'on surten els números

Val la pena saber què s'està llegint abans de discutir-ho. L'estudi l'encarrega Sophos i el fa Vanson Bourne el primer trimestre del 2026: 2.158 responsables d'IT i de seguretat d'organitzacions d'entre 100 i 5.000 empleats, a 17 països —Espanya entre ells—, de quinze sectors, i totes elles víctimes de ransomware els dotze mesos anteriors. És una enquesta a víctimes, no una radiografia del mercat: els percentatges parlen de a qui li va passar, no de la probabilitat que et passi. Amb aquesta cautela posada, aquestes són les xifres que importen:

Qui va restaurar i pagar alhora

El titular que circula aquests dies és que «les còpies guanyen la partida». Tant de bo. Els dos percentatges es calculen sobre la mateixa base, les víctimes a qui van xifrar dades, així que 66 més 48 no caben en 100: almenys catorze de cada cent van restaurar i van pagar. L'informe no diu per què, o sigui que el que ve és lectura nostra. Hi ha explicacions mecàniques —el desxifrat semblava més ràpid que la restauració, o la còpia cobria uns sistemes i no uns altres—, i n'hi ha una que veiem més sovint: el rescat no sempre es paga per recuperar les dades, sinó perquè no es publiquin.

Ja en vam escriure fa uns dies arran d'una campanya que ni tan sols es molesta a xifrar: la teva còpia torna el servei, no la confidencialitat. Cap backup desfà una filtració. L'informe posa número a aquesta frontera —el 16% de les víctimes va patir xifrat i robatori alhora—, i aquest 16% és la part més visible del problema per a la qual restaurar no serveix de res, perquè els robatoris sense xifrat ni tan sols entren en aquest compte.

Un apunt de mètode, perquè és fàcil llegir-ho malament: la mediana de la petició va ser de 698.000 dòlars i la mediana del pagament, de 769.000. Sembla que la gent va pagar més del que li demanaven, i no és això: són dues poblacions diferents —totes les víctimes enfront de només qui va pagar—, i qui acaba pagant sol ser qui va rebre la petició més gran. Amb el mateix informe dient que el 51% dels qui van pagar va negociar per sota de la petició inicial, la conclusió honesta és la contrària: es negocia a la baixa, però els qui paguen parteixen de xifres més altes.

El rescat baixa i la factura puja

Aquesta és, per a nosaltres, la línia més important de l'informe: la mediana de les peticions de rescat ha caigut un 65% en dos anys i el cost mitjà de recuperació ha pujat un 11% fins a 1,7 milions de dòlars per incident. Les dues corbes van en direccions oposades. El que s'abarateix és la part que surt als titulars; el que s'encareix és la part que pagues tu encara que no negociïs amb ningú.

I dins d'aquest milió set-cents mil no hi ha cap criptomoneda. Hi ha hores de gent pròpia i de gent de fora, maquinari comprat amb pressa, llicències d'emergència, forense per poder dir amb seguretat què se'n van endur, setmanes de feina manual reintroduint el que es va perdre entre l'última còpia bona i el xifrat, advocats, comunicació i clients que truquen preguntant per què la seva comanda no avança. Res d'això ho evita una restauració ràpida. Tot això ho redueix, i molt, haver decidit abans en quin ordre torna cada cosa.

«Una setmana» sona ràpid fins que la poses al teu calendari

El 55% es va recuperar en una setmana o menys i només el 16% en menys d'un dia. Dit a l'inrevés, que és com s'ha de dir: el 45% va trigar més d'una setmana, i el 84% va trigar més d'un dia. Ara agafa el teu calendari i ratlla cinc dies laborables seguits. Sense facturar, sense producció, sense ERP, amb el correu a mitges i amb tota la plantilla fent el que pot en paper o en fulls de càlcul. Aquesta és la unitat de mesura real d'un pla de continuïtat, i no cap en cap SLA del teu proveïdor de còpies.

Ho dèiem fa deu dies arran d'una caiguda d'AWS i val igual aquí: el temps de recuperació no és una propietat del backup, és una propietat del sistema sencer. Depèn de quantes màquines cal aixecar i en quin ordre, de si el directori i el DNS tornen abans que les aplicacions que en depenen, de quants megabytes per segon treu de debò el teu emmagatzematge de còpies quan restaures deu servidors alhora en lloc d'un, i de si algú pot afirmar sense creuar els dits que la màquina que acabes de tornar a la xarxa està neta.

El 97% tenia MFA

L'altra meitat de l'informe explica per què això continua passant, i aquí hi ha un gir: per primera vegada en quatre anys les vulnerabilitats explotades ja no són la via d'entrada principal —cauen al 18%, catorze punts menys que l'any anterior— i el 79% dels atacs arrenca en una identitat. El correu maliciós (26%) i el phishing (24%) sumen ells sols la meitat de tots els incidents. L'atacant ha deixat de forçar la finestra perquè té la clau de la porta.

La dada que hauria de treure la son és una línia més avall: en el 97% dels incidents la causa arrel dels quals van ser credencials compromeses, l'organització tenia MFA desplegat d'alguna manera. Aquest «d'alguna manera» és del mateix informe, i és on hi caben totes les excepcions còmodes: l'usuari de servei heretat, el protocol antic que ningú no gosa tallar, el portal que va quedar fora de la política, el segon factor per SMS que un atacant intercepta o simplement demana per telèfon. Sobre aquest últim punt ja en vam escriure quan Microsoft va anunciar la retirada de l'SMS com a segon factor. Un MFA amb excepcions no és un MFA: és un inventari d'excepcions.

Això té una conseqüència directa en el disseny de les còpies, i és la raó per la qual ho fiquem en un post sobre recuperació: si l'atacant entra amb credencials legítimes, entra amb permisos. Un backup accessible amb les mateixes credencials d'administració que la resta de l'entorn no és una còpia de seguretat, és un sistema més dins del radi d'explosió. Ho vam veure amb totes les lletres en l'esborrat del registre de la propietat de Romania: l'atacant no va trencar res, es va autenticar.

Les cinc coses que cal cronometrar abans del dia dolent

Operem còpies amb Proxmox Backup Server i amb Veeam, amb la disciplina de sempre —tres còpies, dos suports, una a fora; almenys una immutable—, i fa anys que veiem la mateixa escena: el backup està verd i ningú no sap quant triga la tornada. Per això una prova de restauració que serveixi no consisteix a obrir un fitxer i donar la feina per bona. Aquestes són les cinc coses que cal cronometrar, i les cinc donen sorpreses la primera vegada:

Les cinc es resolen dedicant-hi una tarda al trimestre, amb el cronòmetre en marxa i amb algú apuntant els temps en un document que després es pugui ensenyar. Aquest document és, literalment, el teu pla de continuïtat; la resta és una carpeta de còpies.

El que ens emportem d'aquest informe

L'informe d'aquest any porta bones notícies sobre les còpies i males notícies sobre tota la resta, i aquesta combinació és exactament la que vèiem venir: la indústria ha tornat a resoldre raonablement el problema de tenir la dada i continua sense resoldre el de tornar a operar. Per això el rescat baixa i la factura puja. Si l'any que ve vols ser al 16% que es recupera en menys d'un dia en lloc del 45% que triga més d'una setmana, la diferència no estarà en el programari de còpies que compris aquesta tardor: serà en quantes vegades hagis cronometrat la tornada abans de necessitar-la.

Fonts (verificades): totes les xifres provenen de The State of Ransomware 2026 de Sophos, setena edició de l'estudi, fet per Vanson Bourne el primer trimestre del 2026 amb 2.158 responsables d'IT i seguretat d'organitzacions de 100 a 5.000 empleats a 17 països (Espanya inclosa) i quinze sectors, totes víctimes de ransomware els dotze mesos previs. Dades concretes —79% d'atacs originats en identitats compromeses, 26% correu maliciós i 24% phishing, 18% vulnerabilitats explotades, 97% dels incidents per credencials compromeses amb MFA desplegat, 56% de xifrat amb un 16% de xifrat més robatori, 48% de pagament entre les víctimes xifrades, 51% que va negociar per sota de la petició inicial, mediana de petició 698.000 $ i de pagament 769.000 $, caiguda del 65% de les medianes de petició en dos anys, cost mitjà de recuperació d'1,7 M$ per incident (+11%), 55% recuperat en una setmana i 16% en menys d'un dia— publicats a la nota de premsa oficial de Sophos i al resum de l'informe (el 66% de recuperació des de còpies, dotze punts més que el 2025, i l'11% de pujada del cost de recuperació surten d'aquest últim). El 54% del 2025 i la seva condició de nivell més baix en sis anys són a l'edició anterior del mateix informe: per això parlem de rebot i no de rècord. Són lectura nostra, i no de l'informe: l'advertiment sobre les dues medianes (petició i pagament es calculen sobre poblacions diferents i no permeten concloure que es pagués per sobre del que es demanava), el solapament mínim de catorze punts entre qui va restaurar i qui va pagar —i les raons que li atribuïm, que l'informe no explica—, la lectura invertida de la dada de recuperació (45% per sobre de la setmana, 84% per sobre del dia) i les cinc coses que convé cronometrar en una prova de restauració.