Ransomware: detección temprana y recuperación
Su empresa está a un clic de perderlo todo
Un correo, un adjunto, un clic. Cloner respalda sus equipos, vigila cada respaldo en busca de señales de ransomware y le avisa a tiempo para recuperar desde la última copia sana.
El problema
Esto ya pasó en Chile
En noviembre de 2023, un ciberataque dejó a 72 municipios chilenos con sus sitios comprometidos y trámites detenidos. Fuente: BioBioChile
El ataque se descubre tarde
La mayoría de las víctimas se entera horas o días después, cuando ya no puede abrir sus documentos. Cada hora sin detectarlo son más archivos dañados y más tiempo de recuperación.
El respaldo que se detuvo en silencio
Equipos que dejan de respaldar sin que nadie lo note, hasta el día en que se necesita recuperar algo y no está.
La pieza que faltaba
Su antivirus o EDR
intenta bloquear el ataque en el equipo.
Detección temprana de Cloner
nota que el ataque está ocurriendo, por el efecto que deja en los archivos respaldados.
Respaldo inmutable de Cloner
le permite volver a la última versión sana.
Su respaldo ahora también vigila
Cada vez que un equipo respalda, nuestra plataforma analiza el comportamiento del respaldo y busca señales de ransomware. Como un guardia que conoce la rutina del edificio y nota de inmediato lo que se sale de lo normal.
Lo que vigilamos
- Archivos con extensiones usadas por ransomware conocidos, de un catálogo de cerca de 5.000 que actualizamos y mejoramos de forma permanente.
- Archivos con extensiones dobles o apiladas, como un documento convertido en ejecutable o cifrado.
- Cientos de archivos convertidos de golpe a un mismo formato desconocido: el sello de un cifrado masivo.
- Archivos originales reemplazados por versiones cifradas.
- Borrados masivos en pocos minutos.
- Caídas bruscas en el tamaño del respaldo.
- Notas de rescate, los mensajes que dejan los atacantes.
- Equipos que respaldaban a diario y dejaron de hacerlo.
Cuando varias señales coinciden en un mismo equipo, el sistema las cruza y eleva el caso a la alerta de máxima prioridad: sospecha de ransomware. Es la diferencia entre ver una puerta abierta y darse cuenta de que la puerta está abierta, la alarma cortada y hay alguien adentro.
Niveles de alerta
| Nivel | Alertas |
|---|---|
| Crítica | Sospecha de ransomware (varias señales a la vez) · Nota de rescate |
| Alta | Originales reemplazados por versiones cifradas · Cifrado masivo · Borrado masivo |
| Media | Extensión de ransomware conocida · Extensión doble · Caída del volumen · Respaldo detenido |
Cómo se entera
La alerta llega a nuestro centro de monitoreo, con el equipo, el usuario, los archivos afectados y el comportamiento que la gatilló.
Nuestro equipo revisa la evidencia.
Le enviamos un informe claro por correo al contacto técnico que usted definió al contratar y, si el caso lo amerita, le llamamos en horario de soporte (lunes a viernes, de 9:00 a 18:00).
Activamos la recuperación desde la última copia sana.
Por qué es distinto
Sin instalar nada
La detección ocurre en nuestros servidores, sobre los respaldos que usted ya hace. Sin software adicional ni carga en sus equipos.
Vigilamos también lo que no pasa
Le avisamos cuando un equipo activo deja de respaldar, antes de que la falta de copia se convierta en un problema.
Privacidad primero
Analizamos solo datos del respaldo como nombres, cantidades, tamaños y fechas. Nunca abrimos ni leemos el contenido de sus documentos.
Pocas alertas, y relevantes
El sistema aprende qué es normal en su organización y exige patrones de comportamiento, no un archivo raro aislado.
Hoy vigila de forma continua más de 118.000 repositorios de respaldo (octubre de 2026).
Cómo funciona por dentro
Para su equipo de TI
- Dónde corre: en los servidores de Cloner, dentro del flujo normal de respaldo. No agrega software en sus equipos ni afecta su rendimiento.
- Qué analiza: solo datos del respaldo (rutas, nombres, extensiones, tamaños, fechas y cantidades). El contenido de los archivos nunca se lee.
- Análisis por archivo: extensiones de ransomware conocidas, extensiones dobles y nombres típicos de notas de rescate.
- Análisis de comportamiento: por equipo y usuario, en ventanas de tiempo: borrados y cifrados masivos, reemplazo de originales, caídas de volumen y respaldos detenidos.
- Aprendizaje por equipo: cada equipo aprende sus formatos habituales (ERP, CAD, equipos de laboratorio) para no alertar por actividad legítima.
- Correlación: las señales de un mismo equipo se combinan en un puntaje de riesgo. Las señales que fueron silenciadas como falso positivo siguen sumando, para que una exclusión no pueda ocultar un ataque real.
- Entrega confiable: las alertas se agrupan, se entregan a nuestro centro de monitoreo por un canal cifrado, con reintentos si algo falla, y cada evento queda registrado.
- Lo que no molesta al cliente: si muchos equipos de un mismo servidor dejan de respaldar a la vez, se trata como un incidente interno de Cloner y no se envían alertas masivas a los clientes.
Por seguridad, no publicamos los umbrales ni las reglas de detección.
Y si el ataque ocurre, sus respaldos siguen intactos
- Inmutables: lo guardado no se modifica ni se sobrescribe; cada cambio crea una versión nueva.
- Versiones ilimitadas: vuelve al estado exacto de antes del ataque, con fecha y hora.
- Fragmentados y cifrados: cada archivo se divide en bloques cifrados con AES-256 y repartidos al azar entre servidores, discos y sectores; no existe un archivo completo que cifrar.
- Integridad verificada: los fragmentos se validan antes de cualquier restauración.
- Dos sitios con redundancia: Cirion Huechuraba (ISO 27001, TIER III) y contingencia en Vitacura.
Qué hacer ante un ataque
- Si le avisamos de una alerta o usted detecta el ataque, desconecte los equipos afectados.
- Confirme con soporte de Cloner (+56 2 2492 0162 o soporte@cloner.cl, lunes a viernes, de 9:00 a 18:00) que se trata de una infección por malware.
- Identificamos con usted la última versión sana de sus datos.
- Su equipo limpia o reemplaza los equipos afectados.
- Restauramos sus datos por web o en disco cifrado, sin costo adicional.
Ransomware y la Ley 21.663
La Ley Marco de Ciberseguridad exige reportar incidentes al CSIRT Nacional (alerta temprana en 3 horas) y mantener la continuidad. La detección de Cloner indica qué equipos y archivos se vieron afectados y desde cuándo, y el respaldo permite recuperar.
Ver qué exige la Ley 21.663 →Más de 400 organizaciones han confiado en Cloner
“A través del servicio de Cloner nos hemos logrado recuperar de diferentes eventos de pérdida de información de forma expedita, permitiendo al o los usuarios que vuelvan a trabajar rápidamente.”
Preguntas frecuentes
¿Reemplaza a mi antivirus?
No, lo complementa. El antivirus intenta bloquear el ataque en el equipo. Cloner observa el efecto real sobre los archivos respaldados, donde el ransomware siempre deja huella, incluso cuando evade al antivirus. Y si el ataque ocurre, le permite recuperarse.
¿Cloner ve mis documentos?
No. Solo se analizan nombres, rutas, extensiones, cantidades y tamaños. El contenido de los archivos nunca se inspecciona.
¿Me van a llenar de alertas falsas?
No. El sistema exige patrones de comportamiento, aprende la operación normal de su organización y agrupa los eventos relacionados en una sola notificación.
¿Qué pasa cuando hay una alerta grave?
Nuestro equipo evalúa la evidencia, incluida la lista de archivos afectados, y se activa el protocolo de contacto y recuperación desde la última copia sana.
¿Tengo que instalar algo?
No. La detección funciona sobre el respaldo que ya hace.
¿Y si el ransomware estuvo oculto varias semanas?
Las versiones son ilimitadas, así que se puede restaurar a cualquier fecha anterior a la infección.
¿La restauración tiene costo?
No. Las recuperaciones web y físicas no tienen costo adicional.
¿La detección tiene costo adicional?
No. Las Alertas de Seguridad están incluidas en el servicio.
¿También protege Microsoft 365?
Sí. Cloner 365 guarda una copia independiente de correos, OneDrive, SharePoint y Teams, y la detección temprana también vigila esos respaldos.
¿Dónde queda mi información?
En Chile, en infraestructura propia de Cloner. No usamos nubes públicas de terceros.
¿Cuánto demora la puesta en marcha?
Puede estar respaldando en menos de 24 horas desde la instalación.
Evalúe gratis si su empresa está protegida
En una reunión breve revisamos cómo respalda hoy y qué pasaría ante un ataque.
Sin compromiso. Le respondemos en menos de 24 horas hábiles.