Mi PC fue hackeado por acceso remoto: pasos concretos para recuperarte y no dejarte nada atrás

Cuando el teclado escribe solo

Imagina que estás trabajando o navegando con normalidad y de repente aparecen ventanas emergentes, se abre el símbolo del sistema y ves cómo se escriben comandos sin que tú los hayas tecleado. Es una de las experiencias más inquietantes que puede vivir alguien frente a un ordenador, y no es tan rara como parece.

Ese escenario concreto, con el símbolo del sistema ejecutando el comando net use de forma automática, fue el punto de partida para este artículo. Lo que hace ese comando no es gestionar usuarios locales, como podría parecer a primera vista: sirve para mapear unidades de red compartidas y averiguar si el equipo está conectado a un servidor o a otros recursos de red. Que un atacante lo ejecute en tu máquina significa que estaba haciendo reconocimiento: intentando saber con qué más podía conectar o qué más podía alcanzar desde ahí.

Esto no es un ataque genérico lanzado al azar. Es alguien que ya estaba dentro y estaba mirando alrededor.

¿Por qué Malwarebytes no encontró nada?

La respuesta corta es que los antivirus no son infalibles. Existe toda una disciplina dentro del malware moderno orientada precisamente a eludir los motores de detección estándar: técnicas de ofuscación, inyección en procesos legítimos del sistema, persistencia a nivel de firmware o de registro que los escáneres convencionales no inspeccionan mientras el sistema operativo está en marcha.

Un único análisis con una herramienta, aunque sea buena, no descarta la infección. Hay casos documentados en la comunidad técnica donde Malwarebytes dio todo limpio y sin embargo el equipo seguía comprometido, con consecuencias económicas directas para el usuario. No es un fallo del producto en sí: es la naturaleza del problema.

Lo que sí aporta valor, y que mucha gente no conoce, es el análisis sin conexión de Windows Defender (Windows Defender Offline Scan). Este modo arranca el análisis antes de que el sistema operativo se cargue completamente, lo que permite detectar amenazas que de otro modo se ocultarían aprovechando procesos activos. Es una capa adicional que merece la pena ejecutar antes de tomar decisiones más drásticas.

El vector de entrada: software de acceso remoto legítimo mal configurado

En el caso que motivó este artículo, el usuario tenía abierto Spacedesk, una herramienta de escritorio remoto. Al cerrarlo, la actividad sospechosa pareció detenerse. Eso no confirma de forma definitiva que fuera el vector de entrada, pero sí lo convierte en el sospechoso más probable.

El patrón es conocido: software de acceso remoto legítimo, ya sea para compartir pantalla, gestión de dispositivos o soporte técnico, puede convertirse en una puerta de entrada si no está actualizado, si escucha conexiones sin requerir autenticación fuerte, o si se ejecuta con más permisos de los necesarios.

Para reducir este riesgo de forma concreta:

• No dejes activo el software de acceso remoto cuando no lo estés usando. Si solo lo necesitas ocasionalmente, ábrelo para esa sesión y ciérralo después.
• Activa autenticación multifactor (MFA) en cualquier herramienta que permita conexiones entrantes. Una contraseña sola no basta.
• Revisa qué programas tienes instalados ordenados por fecha de instalación. Muchas herramientas de gestión remota (RMM) instalan varios componentes por separado, y es fácil que pasen desapercibidos. Si ves algo que no recuerdas haber instalado, investígalo antes de ignorarlo.
• Desconfía de actualizaciones que llegan por canales no oficiales. Las descargas que se disfrazan de actualizaciones de software común son un vector de infección habitual.

Qué hacer si ya pasó: la secuencia correcta

1. Desconecta el equipo de la red inmediatamente

Si todavía hay actividad sospechosa o si acabas de darte cuenta de lo que ha ocurrido, corta la conexión. Cable de red fuera, WiFi desactivado. Esto no resuelve el problema, pero impide que el atacante siga operando o exfiltrando datos mientras decides qué hacer.

2. Haz copia de seguridad de datos, no de ejecutables

Antes de reinstalar nada, guarda en un dispositivo externo los archivos que necesites: documentos, imágenes, datos de trabajo. Solo archivos de datos. No copies ejecutables (.exe, .bat, .ps1), accesos directos ni archivos de configuración de aplicaciones: cualquiera de ellos podría contener código malicioso embebido. Si tienes dudas sobre un archivo concreto, no lo copies.

3. Cambia todas tus contraseñas desde otro dispositivo

Este paso es crítico y hay que hacerlo antes de volver a usar el equipo comprometido, porque si el atacante capturó credenciales almacenadas en el navegador o en gestores de contraseñas, cambiarlas desde el mismo equipo infectado no sirve de nada.

Prioriza las cuentas más sensibles: correo electrónico principal, servicios de almacenamiento en la nube, plataformas de comunicación, accesos bancarios. Revisa también qué sesiones activas tienes abiertas en esas cuentas y ciérralas todas menos la nueva. La mayoría de servicios tiene esta opción en la configuración de seguridad.

Si el equipo tenía acceso a sistemas de la empresa (ERP, CRM, correo corporativo, VPN), comunícalo a quien corresponda aunque no tengas certeza de que esos datos fueron accedidos. Actuar con información incompleta es mejor que no actuar.

4. Reinstala Windows desde cero con una ISO oficial

La reinstalación completa del sistema operativo desde un medio externo limpio es la única forma de tener certeza razonable de que has eliminado cualquier código malicioso. No hay atajos equivalentes.

El procedimiento es más accesible de lo que parece:

• Descarga la imagen ISO oficial de Windows desde otro dispositivo que no esté comprometido, directamente desde la web de Microsoft.
• Usa una herramienta como Rufus para grabar esa imagen en un USB de al menos 16 GB y crear un medio de arranque.
• Entra en la BIOS o UEFI del PC afectado (habitualmente pulsando F2, F12 o Supr al arrancar, dependiendo del fabricante) y configura el arranque desde el USB.
• Sigue el asistente de instalación de Windows. Cuando llegues a la selección de disco, formatea la partición del sistema antes de instalar.

Guarda ese USB cuando termines. Sirve para reimaginar cualquier otro equipo en el futuro y es un recurso que vale la pena tener a mano.

El tiempo estimado para una reinstalación de este tipo en un equipo de oficina está entre dos y cuatro horas, incluyendo la reinstalación de aplicaciones básicas. No es trivial, pero es la apuesta segura.

5. Ejecuta Windows Defender en modo sin conexión antes o después de la copia de seguridad

Si por cualquier motivo no puedes reinstalar de inmediato o quieres una capa de análisis adicional, el análisis sin conexión de Windows Defender es la herramienta más accesible para detectar amenazas que se ocultan durante el funcionamiento normal del sistema. Se lanza desde la propia configuración de seguridad de Windows y reinicia el equipo para ejecutarse antes de que el SO cargue completamente.

¿Cómo saber si el atacante ya se llevó algo?

Esta es la pregunta más difícil de responder con certeza, y conviene ser honesto al respecto: si el acceso fue real y duró varios minutos, no puedes descartar que se hayan extraído credenciales, cookies de sesión activas o archivos accesibles en ese momento.

Lo que sí puedes hacer es evaluar el daño probable revisando qué tenías accesible:

• ¿Había sesiones de correo o servicios bancarios abiertas en el navegador? Las cookies de sesión pueden exportarse sin necesidad de conocer la contraseña.
• ¿El navegador tenía contraseñas guardadas? Son las primeras que un atacante con acceso físico o remoto al escritorio puede volcar.
• ¿Había documentos con datos sensibles en el escritorio o en carpetas de fácil acceso?

Con esa evaluación puedes decidir qué cuentas requieren acción urgente y si es necesario notificar a otras personas afectadas.

Segmentación de red: cómo evitar que un equipo comprometido arrastre a los demás

Que el atacante ejecutara net use buscando recursos de red compartidos tiene una implicación importante: si el equipo estaba en la misma red que otros dispositivos o un servidor de archivos, el riesgo no era solo para ese PC. Era para todo lo accesible desde él.

La segmentación de red es la medida que contiene ese riesgo. En la práctica, para una oficina con varios equipos, implica separar en redes distintas (o al menos en VLANs diferentes) los equipos de usuario, los servidores internos y los dispositivos de acceso externo. Así, si un equipo queda comprometido, el atacante no puede moverse lateralmente al resto de la infraestructura con la misma facilidad.

No es una configuración que requiera hardware especializado de nivel enterprise, pero sí necesita que alguien con conocimiento técnico la diseñe e implemente correctamente desde el principio. Un router doméstico o de gama baja no ofrece esta capacidad de forma nativa.

Lo que este incidente le cuesta a una empresa

Si esto no ocurre en un PC personal sino en un equipo de trabajo con acceso a datos de clientes o empleados, las implicaciones van más allá del tiempo de recuperación.

El RGPD establece la obligación de notificar una brecha de seguridad a la autoridad competente en un plazo máximo de 72 horas desde que se tiene conocimiento de ella, si existe riesgo para los derechos de las personas afectadas. No hacerlo no es una opción neutral: tiene consecuencias regulatorias directas.

Y más allá de la normativa, el coste real incluye el tiempo de inactividad del equipo, el riesgo de pérdida de datos no respaldados, la reinstalación y reconfiguración de aplicaciones de negocio, y el tiempo dedicado a revisar qué información pudo verse comprometida. Todo eso sumado supera con creces lo que costaría haber implementado medidas básicas preventivas desde el principio: MFA en accesos remotos, copias de seguridad incrementales automatizadas, auditoría periódica de software instalado y una política clara sobre qué herramientas de acceso remoto están autorizadas y cómo deben configurarse.

Resumen: lo que no puedes saltarte

• Corta la red en cuanto detectes actividad sospechosa.
• Cambia contraseñas desde otro dispositivo limpio, empezando por correo y servicios críticos.
• Haz copia de seguridad solo de archivos de datos, nunca de ejecutables.
• Reinstala Windows desde una ISO oficial descargada en un equipo limpio y grabada en USB con Rufus.
• No confíes en un único antivirus para certificar que el sistema está limpio tras un compromiso confirmado.
• Evalúa qué estaba accesible durante el ataque y actúa en consecuencia sobre las cuentas afectadas.
• Revisa el software instalado por fecha para detectar herramientas de acceso remoto no autorizadas.

Si gestionas varios equipos en tu empresa, este tipo de incidente es un buen momento para preguntarte cuántos de esos ordenadores tienen software de acceso remoto instalado, quién tiene acceso a qué, y qué pasaría si uno de ellos quedara comprometido esta tarde.