Resposta curta: se o seu backup é um espelho, ele vai substituir fielmente cada arquivo bom pela versão criptografada na próxima vez que rodar, e vai fazer isso sem ninguém pedir.
Versões são toda a defesa. Não um disco melhor, não uma cópia mais rápida: guardar o ontem além do hoje.
Um espelho mantém o destino idêntico à origem. Esse é o trabalho declarado dele, e ele o faz bem. A linha que a maioria das pessoas roda é alguma variação de:
rsync -aE --delete ~/Documents/ /Volumes/Backup/Documents/Leia --delete de novo pensando em uma manhã ruim. Significa: faça o backup ficar igual, e remova do backup tudo o que não está mais na origem.
Agora imagine que algo criptografou sua pasta Documentos durante a noite. Todo arquivo continua lá, mesmos nomes, mesma estrutura de pastas, conteúdo diferente. O espelho roda no horário de sempre, vê arquivos cujo conteúdo mudou e copia o conteúdo novo por cima do antigo. Ele fez exatamente o que você mandou. Seu backup agora é uma segunda cópia do estrago.
Tire o --delete e não melhora muito: as exclusões param de se propagar, mas os arquivos alterados ainda são sobrescritos, porque um espelho guarda exatamente uma versão de cada arquivo.
Isso não é um problema do Terminal. É uma característica de qualquer coisa que mantém uma única cópia.
O ponto em comum é que nenhum deles está fazendo nada errado. Todos estão propagando corretamente uma mudança que ninguém queria.
Um backup com versões guarda o que um arquivo era na segunda-feira além do que ele é na sexta. Quando a cópia de sexta se revela inútil, a de segunda ainda está lá.
Duas coisas tornam isso útil:
A regra 3-2-1 foi escrita para falhas de hardware e por acaso também responde a isto: três cópias, dois tipos de armazenamento, uma em outro lugar. O que importa aqui é a última parte, e especificamente uma cópia que não fica conectada o tempo todo.
Um drive conectado a semana toda fica ao alcance de qualquer coisa rodando no Mac a semana toda. Um drive conectado aos domingos fica ao alcance por algumas horas por semana. Não é sofisticado e é a maior parte do benefício prático, e é por isso que o conselho chato de alternar dois drives continua certo.
Vale ser direto, porque é aqui que a categoria exagera nas promessas.
Um backup não impede que nada aconteça. Ele não detecta a coisa quando começa, não impede um processo de gravar nos seus arquivos e não substitui manter o macOS atualizado e não rodar o que você não confia. Qualquer coisa vendida a você como proteção nessa área está fazendo um trabalho diferente do descrito nesta página.
O que um backup faz é tornar o estrago reversível. É uma promessa menor e mais útil.
O Copy Shelter mantém versões, então um arquivo que muda não sobrescreve o que ele era, e apagar um arquivo no Mac não o remove do backup. Ele lê o backup de volta e confere cada parte com o hash com que foi guardada, então uma cópia que ficou ilegível sem aviso é informada. Ele grava em mais de um destino se você quiser, e só conta as cópias que de fato verificou.
Ele não impede nada e não detecta nada enquanto acontece. Ele dá a você histórico, e o histórico é a parte que leva você de volta à segunda-feira.
Melhor que um espelho, porque mantém histórico: de hora em hora por um dia, diário por um mês, semanal enquanto houver espaço. Duas ressalvas. Ele reduz os snapshots antigos conforme o disco enche, então a profundidade é o que o disco permitir. E um drive conectado o tempo todo fica ao alcance o tempo todo.
Só se o que você colocar lá for um backup com versões. Uma cópia sincronizada dos seus arquivos atuais não resolve. Uma pasta sincronizada propaga a mudança. Um repositório de backup gravado nessa mesma pasta não, porque as versões antigas são objetos separados que nada na origem alcança.
Mais do que você imaginaria para perceber. Trinta dias cobrem um erro que você vê na hora. Um ano cobre a pasta que você não abre desde a primavera passada, que é a que pega as pessoas.
Não, e nada que se chame de backup deveria dizer o contrário. Ele mantém versões e as verifica, então o estrago é reversível. Impedir é trabalho de manter o macOS atualizado, não instalar o que você não confia e não ser a pessoa que abre o anexo.
Um segundo drive que você conecta uma vez por semana, guarda em outro lugar e nunca deixa conectado não é exagero e custa mais ou menos o preço de uma pizza. É a coisa mais eficaz desta página.
Relacionado: a regra 3-2-1, backup com rsync e como conferir se um backup pode ser lido.