Me hackearon el PC en tiempo real: qué hacer paso a paso y cómo no volver a empezar desde cero

Despertarse y ver cómo alguien mueve tu ratón

Son las 5 de la mañana. Tu PC se enciende solo. Intentas mover el ratón y notas resistencia — alguien más lo está controlando. En cuestión de minutos ves cómo acceden a tu perfil de Google, copian tu número de teléfono, entran en tu cuenta bancaria y abren tu correo. Justo antes de que te despiertes, te había llegado un código de autenticación de dos factores que tú no habías pedido.

Esto no es un escenario hipotético. Es exactamente lo que le ocurrió a alguien que investigó después y encontró una extensión de Chrome — un bloqueador de anuncios para streams — que llevaba años instalada y que había sido marcada como maliciosa. El atacante probablemente la usó como punto de entrada.

Lo que sigue es el protocolo real para salir de esa situación. Sin atajos, sin medias tintas.

Fase 1: cortar el acceso ahora mismo

Lo primero, antes de cualquier otra cosa, es desconectar físicamente el equipo de la red. No basta con desactivar el Wi-Fi desde el sistema operativo ni con poner el modo avión — si hay malware instalado, puede ignorar esas órdenes o reactivarse. Desenchufa el cable de red, apaga el router o saca la máquina de la red por completo.

Una vez cortado el acceso, no vuelvas a usar ese equipo para nada sensible. No para cambiar contraseñas, no para revisar el correo, no para hacer transferencias. Cualquier acción que hagas desde una máquina potencialmente comprometida puede ser interceptada en tiempo real.

El siguiente paso es congelar tu cuenta bancaria y bloquear tarjetas, tal como hizo la persona de este caso. Muchos bancos permiten hacerlo desde la app móvil o por teléfono. Hazlo antes de cambiar una sola contraseña.

Fase 2: cambia todas las contraseñas desde un dispositivo limpio

Aquí viene un error que mucha gente comete: cambiar contraseñas desde la misma máquina o desde la misma red comprometida. Si el atacante sigue teniendo visibilidad sobre esa red, ve las contraseñas nuevas exactamente igual que las antiguas.

La recomendación práctica es usar un dispositivo completamente diferente — el móvil conectado por datos móviles, no por el Wi-Fi de casa — y tratar todos los dispositivos conectados a esa red como potencialmente comprometidos. Router incluido. Cambiar la contraseña del router y revisar si tiene firmware actualizado es parte del proceso, no un extra opcional.

Prioriza en este orden: correo electrónico principal, banca, cualquier servicio que use ese correo para recuperar acceso y, después, el resto.

El gestor de contraseñas del navegador no es suficiente

Uno de los puntos más importantes que suele pasarse por alto: Chrome, Firefox y Edge tienen gestores de contraseñas integrados que almacenan las credenciales en archivos locales. El problema es que esos archivos pueden descifrarse sin necesidad de reautenticación. Un atacante con acceso al escritorio puede abrir la página de configuración del gestor, ver la lista completa de sitios y contraseñas, o usar las herramientas de desarrollador del propio navegador para convertir campos de contraseña a texto plano después de que el navegador los haya rellenado automáticamente.

Esto significa que si el atacante tuvo acceso a tu escritorio, es razonable asumir que tiene todas las contraseñas que tenías guardadas en el navegador. No solo las del servicio que viste que abrió.

Para uso personal y especialmente para entornos de trabajo, los gestores de contraseñas dedicados — los que exigen reautenticación real cada vez que se accede a una credencial y no dependen del navegador como capa de seguridad — son claramente superiores. No hace falta nombrar marcas concretas: lo que buscas es que el gestor pida tu contraseña maestra o un factor biométrico cada vez que lo abres en una sesión nueva, y que no almacene nada descifrado en el sistema de archivos local sin esa autenticación previa.

Tu número de teléfono expuesto: el riesgo real

Una pregunta legítima en esta situación es: ¿qué pueden hacer con mi número de teléfono? La respuesta corta es que, combinado con acceso a tu correo, abre la puerta al SIM swapping: convencer a tu operadora de que eres tú y transferir tu número a una SIM que controlan ellos. A partir de ahí, cualquier código de verificación por SMS llega a ellos, no a ti.

Las acciones concretas son: contactar con tu operadora para activar una capa adicional de verificación antes de permitir cambios en tu línea, eliminar el número de teléfono como método de recuperación o segundo factor en tus cuentas más sensibles, y sustituirlo por una app de autenticación (TOTP) instalada en un dispositivo que no haya estado comprometido.

La extensión de Chrome: por qué una amenaza antigua puede activarse años después

El vector de entrada en este caso fue una extensión de navegador instalada años atrás, ya marcada como maliciosa. Esto ilustra algo que se subestima mucho: una extensión comprometida tiene acceso a prácticamente todo lo que hace el navegador. Puede registrar pulsaciones de teclado, capturar pantallas, robar cookies de sesión y exportar datos — durante semanas o meses sin que el usuario note nada anormal.

El hecho de que la extensión llevara años instalada sin causar problemas visibles no significa que no estuviera activa. Los atacantes a menudo mantienen acceso silencioso durante períodos largos antes de actuar, precisamente para no alertar a la víctima.

La revisión periódica de extensiones instaladas debería ser un hábito: si no recuerdas para qué sirve, si el desarrollador ha desaparecido, si tiene permisos que no justifica su función o si ha sido retirada de la tienda oficial, desinstálala.

Reinstalar el sistema operativo: necesario, pero no suficiente por sí solo

Cambiar contraseñas no elimina el malware. Deshabilitar Wake-on-LAN no elimina el malware. Reinstalar el sistema operativo es obligatorio, no opcional, y debe hacerse desde cero con una imagen limpia descargada desde los canales oficiales, en un medio de instalación nuevo.

Ahora bien, una reinstalación del sistema operativo no garantiza por sí sola que el equipo esté limpio si el compromiso ha llegado a niveles más profundos — firmware o BIOS. Para determinar esto con fiabilidad necesitarías un análisis forense real: revisar los logs del sistema antes de formatear, analizar si hay modificaciones en el firmware con herramientas especializadas y, en casos de duda alta, valorar si el hardware sigue siendo de confianza. En la práctica, para la mayoría de los casos de malware convencional, una reinstalación limpia con cambio completo de credenciales desde dispositivos limpios es suficiente — pero sin análisis forense, nunca puedes tener certeza absoluta del vector de entrada inicial. Y sin entender cómo entraron, el riesgo de reinfección tras la reinstalación sigue siendo real.

Detección en tiempo real: más allá del antivirus

Una pregunta que queda abierta en situaciones como esta es cómo detectar accesos remotos no autorizados o cambios inusuales en archivos de configuración antes de que sea demasiado tarde. Las respuestas prácticas para un entorno sin un equipo de seguridad dedicado son:

• Revisar regularmente los procesos activos y conexiones de red salientes. Herramientas básicas del propio sistema operativo permiten ver qué aplicaciones están estableciendo conexiones y hacia dónde.
• Activar notificaciones de inicio de sesión en todos los servicios que lo permitan — correo, banca, servicios en la nube. Un acceso desde una IP o ubicación inusual debería generar alerta inmediata.
• Monitorización de integridad de archivos en sistemas críticos: existen soluciones que alertan cuando archivos de configuración importantes son modificados sin autorización.
• Revisar los logs de acceso remoto (RDP, VPN) si se usan en el entorno. Un acceso fuera de horario o desde una IP desconocida es una señal clara.

Para entornos con varias máquinas, la segmentación de red es una capa adicional importante: que una estación de trabajo comprometida no tenga acceso directo a servidores con datos críticos limita enormemente el radio de daño.

Lo que esto significa si tienes un negocio

El caso que hemos descrito es personal, pero el patrón es exactamente el mismo cuando ocurre en una empresa. Una única máquina comprometida — la del responsable de administración, la del gerente, la de quien accede al correo corporativo y a la banca — puede exponer credenciales de acceso a sistemas contables, datos de clientes, correos internos y acceso a herramientas de gestión.

Las extensiones de navegador no verificadas instaladas en equipos de trabajo son un vector de entrada que pocas pymes auditan. Los gestores de contraseñas del navegador se usan de forma generalizada en entornos de oficina. El MFA en el correo corporativo y en los accesos remotos sigue siendo opcional en muchas organizaciones, cuando debería ser obligatorio.

Y si el compromiso afecta a datos de clientes o empleados, entra en juego la obligación de notificación — lo que añade una capa de gestión que conviene tener documentada antes de necesitarla, no improvisarla en el momento.

Un procedimiento post-compromiso escrito, aunque sea básico, cambia completamente la capacidad de respuesta cuando el problema ocurre a las 5 de la mañana y nadie sabe bien qué hacer primero.

Merece la pena revisar qué extensiones tienen instaladas los equipos de tu empresa, y qué pasaría si mañana alguien viera su ratón moverse solo.