¿Un NAS es una copia de seguridad?
Es un disco en red: un aparato donde los equipos de la oficina guardan y comparten archivos. INCIBE lo considera un soporte válido para las copias de una pequeña empresa. Si es la única copia, o el sitio donde viven también los originales, no cumple la regla 3-2-1: falta la copia de fuera.
La guía de copias de seguridad de INCIBE define el NAS como «un dispositivo de almacenamiento conectado a una red que permite almacenar y recuperar los datos en un punto centralizado» y dice que, en una pequeña empresa, las copias basadas en discos duros pueden hacerse en él: gestionar las copias en un aparato central es más sencillo que en varios discos sueltos, y los fabricantes traen aplicaciones de copia con versiones de archivos.
La misma guía pone la condición, la regla 3-2-1 que explica la guía de copias de seguridad: tres copias de cada fichero importante, en dos soportes distintos y con una fuera de la empresa. Un NAS puede ser una de esas copias. Lo que no puede ser es las tres a la vez, y eso es lo que pasa cuando los archivos de trabajo y sus copias viven en el mismo aparato.
¿Por qué el ransomware cifra también el NAS?
Porque el ransomware cifra lo que puede escribir el equipo infectado, incluidas las carpetas del NAS que tiene conectadas. Si el NAS es también la copia, se cifra a la vez que los originales. La agencia estadounidense CISA avisa de que muchas variantes buscan las copias a su alcance para borrarlas o cifrarlas.
Lo decide el permiso, no la marca del aparato. Una carpeta compartida conectada como unidad de red y con permiso de escritura es, para el programa que cifra, un disco más del equipo. Por eso la guía de CISA, la agencia de ciberseguridad de Estados Unidos, pide mantener copias fuera de línea y cifradas: el ransomware intenta encontrar las copias a su alcance para que restaurar sea imposible sin pagar.
| Situación | Solo el NAS, con RAID | NAS con instantáneas | NAS y copia fuera, con otras credenciales |
|---|---|---|---|
| Se rompe un disco del NAS | Sobrevive, si falla uno solo | Sobrevive | Sobrevive |
| Alguien borra una carpeta por error | Se pierde: el espejo también la borra | Vuelve la de la última instantánea | Vuelve |
| Ransomware en un portátil con la carpeta del NAS conectada | Se cifra | Vuelve, si las instantáneas no se borran desde ese equipo | Vuelve |
| Ataque al propio NAS desde internet | Se cifra | Depende: quien entra como administrador puede borrarlas | Vuelve desde fuera |
| Robo o incendio en la oficina | Se pierde | Se pierde | Vuelve desde fuera |
¿Es una copia de seguridad el RAID del NAS?
No. El RAID reparte o duplica los datos entre los discos del NAS para que siga funcionando si se rompe uno. En espejo, explica INCIBE, si borras un archivo también lo borras de la copia, y lo mismo si un programa lo cifra. Protege de la avería, no del error ni del ataque.
| Medida | Protege de | No protege de |
|---|---|---|
| RAID, con los discos en espejo o repartidos | La avería de un disco | Un borrado, un cifrado, el robo o el incendio del aparato |
| Instantáneas del NAS | Un borrado o un cifrado hecho desde un equipo de la red | Un atacante que entra como administrador del NAS y las borra; el robo o el incendio |
| Copia fuera de la oficina, con otras credenciales | Lo anterior, incluido perder el aparato entero | Que nadie haya probado nunca a restaurarla |
INCIBE lo explica con la copia en espejo, el RAID 1: crea una copia exacta de los datos en tiempo real, y por eso, si borras un archivo por accidente, también lo estás borrando de la copia. Es una buena forma de que el NAS no se pare por un disco roto. No es una forma de volver atrás.
¿Qué ataques van directamente contra el NAS?
Los que llegan por internet cuando el NAS está expuesto: con la redirección de puertos del router abierta, cualquiera alcanza su panel y sus aplicaciones. En septiembre de 2022, el fabricante QNAP avisó de una campaña del ransomware DeadBolt contra sus NAS con Photo Station expuesta a internet, por una vulnerabilidad crítica.
3 de septiembre de 2022, por la mañana
QNAP detecta una nueva campaña de DeadBolt
Contra NAS con la aplicación Photo Station expuesta a internet.
El mismo día
Aviso de seguridad QSA-22-24
La vulnerabilidad CVE-2022-27593, de gravedad crítica, y las versiones de Photo Station que la corrigen.
Recomendación de QNAP
Cerrar la exposición y actualizar
Desactivar la redirección de puertos del router, también la automática por UPnP; actualizar el sistema y las aplicaciones; contraseñas fuertes en todas las cuentas; instantáneas y copias periódicas.
Fuente: QNAP, aviso de seguridad QSA-22-24, «DeadBolt Ransomware» (3 de septiembre de 2022), consultado el .
Nombrar a QNAP aquí es citar un aviso público suyo, no señalar una marca: cualquier aparato abierto a internet con un fallo sin corregir está en la misma situación. La base de datos de vulnerabilidades de NIST registró CVE-2022-27593 el 8 de septiembre con una puntuación de 9,1 sobre 10: podía permitir a un atacante modificar archivos del sistema. CISA pide desactivar todo servicio que no haga falta en lo que da a internet y revisar con regularidad sus vulnerabilidades. En 2025, INCIBE detectó y notificó 237.028 sistemas vulnerables susceptibles de ser explotados para entrar en redes; el resto de cifras oficiales, en los ciberataques en España en 2025.
392
ataques de ransomware gestionó INCIBE en 2025, dentro de 55.411 incidentes de malware, según su balance anual publicado el 9 de febrero de 2026.
¿Qué son las instantáneas del NAS y de qué protegen?
Una instantánea es una foto de las carpetas del NAS en un momento dado, a la que se puede volver. Si un equipo cifra o borra archivos, recuperas los de la última instantánea buena. QNAP las recomendó contra DeadBolt. Pero si el atacante entra como administrador del NAS y puede borrarlas, caen con él.
Para que sirvan contra el ransomware tienen que cumplir dos cosas. Que se hagan a menudo, porque el intervalo entre una y otra es lo que vas a perder: el RPO que explica la guía del RTO y el RPO. Y que no se puedan borrar desde un equipo de la oficina ni con la contraseña de uso diario. CISA lo pide para el almacenamiento en la nube, protección contra el borrado y varias versiones de cada archivo, y la lógica es la misma en un NAS.
¿Cómo se protege un NAS del ransomware?
Sin puertos abiertos a internet, con el sistema y las aplicaciones al día, contraseñas fuertes y doble factor, una cuenta por persona con acceso solo a sus carpetas, e instantáneas frecuentes. Y con una copia fuera del NAS. Es lo que recomendó QNAP tras DeadBolt, más lo que CISA pide para cualquier sistema.
Que no se llegue desde internet
- Sin redirección de puertos del router hacia el NAS, tampoco la automática (UPnP)
- Acceso desde fuera solo por VPN o por el acceso remoto del fabricante, nunca con el panel publicado
- Desinstaladas las aplicaciones del NAS que no se usan
Que esté al día
- El sistema del NAS (firmware) actualizado
- Las aplicaciones del NAS actualizadas
- Alguien que lea los avisos de seguridad del fabricante
Que cada uno entre solo a lo suyo
- Una cuenta por persona, nunca una compartida
- Contraseñas fuertes en todas las cuentas
- Doble factor en la cuenta de administración
- Cada persona, con permiso solo en las carpetas que necesita
Que haya vuelta atrás
- Instantáneas frecuentes, que no se puedan borrar desde un equipo de la oficina
- Una copia fuera del NAS y fuera de la oficina
- Una prueba de restauración con fecha
¿Se puede entrar al panel o a las carpetas del NAS desde fuera de la oficina sin VPN?
- Sí
- Está expuesto: cierra la redirección de puertos y el UPnP del router y usa una VPN.
- No
- Sigue.
¿El sistema y las aplicaciones del NAS tienen las últimas actualizaciones?
- Sí
- Sigue.
- No
- Actualiza antes que nada.
¿Cada persona entra con su cuenta y la de administración tiene doble factor?
- Sí
- Sigue.
- No
- Crea cuentas personales y activa el doble factor.
¿Hay una copia del NAS fuera de la oficina que no se pueda borrar con las credenciales del día a día?
- Sí
- Prueba que se restaura.
- No
- Es lo siguiente que falta.
Lo de mantenerlo al día no es un detalle: INCIBE incluye en su guía de copias el mantenimiento periódico del hardware y el software de los soportes, porque importan tanto los fallos mecánicos como las vulnerabilidades del software sin actualizar. Por qué no se aplazan, en la guía de actualizaciones de seguridad; y cómo activar el doble factor, en la suya.
¿Dónde debe ir la otra copia si tienes un NAS?
Fuera de la oficina y del alcance de las credenciales de cada día: en la nube con otra cuenta, o en un disco que solo se conecta para copiar. CISA pide copias fuera de línea y cifradas; INCIBE, una fuera de la empresa. Así, ni un ransomware ni un incendio se llevan las dos.
| Opción | A favor | En contra |
|---|---|---|
| En la nube, con credenciales distintas | Fuera de la oficina, sin depender de que alguien cambie un disco | Restaurar mucho volumen depende de la conexión a internet |
| Un disco externo que solo se conecta para copiar | Barato y fuera de línea casi todo el tiempo | Depende de que alguien lo conecte, lo desconecte y se lo lleve |
| Otro NAS en otra sede | Restauración rápida por la red | Si se entra con las mismas credenciales, cae con el primero |
En Talvit, la copia del NAS y una segunda copia en otro centro de datos de la Unión Europea se presupuestan aparte de la cuota. Si quieres saber si tu NAS está bien puesto, o qué le falta, cuéntanos tu caso.
¿Cómo se comprueba que la copia del NAS se puede restaurar?
Restaurando una carpeta desde la copia de fuera, no desde las instantáneas, en otro sitio y cronometrando. Si abre, está completa y el tiempo cabe en lo que tu empresa aguanta sin esos archivos, apúntalo con fecha. Esa acta demuestra que la copia funciona y es la que enseñas si un cliente pregunta.
El procedimiento, el acta y cada cuánto repetir la prueba están en la guía del RTO y el RPO. Mejor que una prueba falle un martes cualquiera que el día después de un ataque; y si ese día llega, el orden de los pasos está en la ayuda tras un ciberataque.
Lo que esta guía no cubre
- Qué modelo de NAS comprar ni una comparación entre marcas.
- La configuración paso a paso de cada fabricante: sigue la documentación del tuyo.
- Qué hacer si el NAS ya está cifrado: empieza por la guía de ransomware y la ayuda tras un ciberataque.
Preguntas frecuentes
¿Puedo usar el NAS como única copia de seguridad?
No es lo recomendable. INCIBE pide tres copias, en dos soportes distintos y con una fuera de la empresa. Un NAS en la oficina puede ser una de ellas, pero comparte red, credenciales y edificio con los originales.
¿Un NAS que no está abierto a internet está a salvo del ransomware?
De los ataques que llegan directamente desde internet, como DeadBolt, está mucho menos expuesto. Del ransomware que entra por un equipo de la oficina, no: si ese equipo puede escribir en las carpetas del NAS, las cifra igual.
¿Las instantáneas sustituyen a la copia de fuera?
No. Viven en el mismo aparato: si se roba, se quema o alguien entra como administrador y las borra, se van con él. Son la primera vuelta atrás, la más rápida; la copia de fuera es la que queda cuando falla todo lo demás.
Fuentes
- INCIBE, «Copias de seguridad: una guía de aproximación para el empresario» (2018), consultado el
- CISA, #StopRansomware Guide (septiembre de 2023), consultado el
- QNAP, aviso de seguridad QSA-22-24, «DeadBolt Ransomware» (3 de septiembre de 2022), consultado el
- NIST, National Vulnerability Database, registro de CVE-2022-27593 (API 2.0), consultado el
- INCIBE, «INCIBE detectó más de 122.000 incidentes de ciberseguridad en 2025» (9 de febrero de 2026), consultado el
Registro de cambios
- : Publicación.
- : Precio: desde el 30 de octubre hay un solo precio, 29 € por puesto y mes, en lugar de tres planes; lo que va fuera de la cuota se presupuesta aparte.
