Seguridad de dispositivos finales para técnicos de soporte

Un equipo lento y un documento bloqueado pueden ser señales de malware, software diseñado para dañar dispositivos, robar o bloquear datos, o utilizar recursos sin consentimiento informado. Identifica por separado cómo llegó y qué hace. Un instalador falso puede ser un troyano que introduce ransomware.

Sigue la vía de entrada

Un troyano de acceso remoto (RAT) permite a un atacante controlar el dispositivo a distancia. Un conversor falso de PDF puede instalar un RAT mientras convierte un documento, por lo que su utilidad aparente no lo hace seguro.

Reconoce los daños

El ransomware cifra archivos y exige un pago por una clave. Los atacantes suelen robar datos primero. Los archivos terminados en .locked y una nota de rescate como HOW_TO_RECOVER.txt son señales de alerta urgentes. Los recursos compartidos asignados y las carpetas sincronizadas en la nube también pueden verse afectados. Desconecta pronto el dispositivo afectado; la recuperación depende de limpiarlo o reinstalarlo y restaurar datos de una copia de seguridad limpia. Pagar no garantiza la recuperación.

El software espía recopila información en secreto. Un registrador de pulsaciones de teclado registra lo que se teclea y puede ser software o un adaptador físico en la conexión del teclado. Revisa las conexiones físicas de los equipos compartidos, además del software instalado. El software de acoso y vigilancia sigue los mensajes o la ubicación de una persona para alguien que conoce. Eliminarlo puede alertar a esa persona; deja que el propietario del dispositivo decida cuándo es seguro hacerlo.

Un minero malicioso de criptomonedas utiliza tiempo de CPU o GPU para minar criptomonedas. El calor, los ventiladores ruidosos y la descarga de la batería cuando el dispositivo está inactivo pueden encajar con este patrón. Comprueba los procesos en ejecución antes de decidir la causa.

Comprende las infecciones ocultas

Un rootkit modifica las interfaces o los componentes que informan de la actividad del sistema. Puede actuar mediante interfaces de aplicaciones, el núcleo, el código de inicio o el firmware. El sistema operativo infectado puede dar una visión falsa al analizador. Un análisis sin conexión examina el dispositivo mientras ese sistema no está en ejecución. A menudo hace falta reinstalar; una infección del firmware también puede requerir recuperarlo desde una fuente de confianza.

El malware sin archivos funciona en memoria y puede utilizar indebidamente PowerShell o Instrumental de administración de Windows (WMI). Las tareas programadas o las entradas del Registro pueden reactivarlo tras reiniciar. Las herramientas basadas en el comportamiento pueden reconocer sus acciones aunque haya poco en el disco que comparar con una firma conocida.

Distingue el software no deseado del software malicioso

El software publicitario muestra anuncios no deseados o modifica los resultados de búsqueda. Un programa potencialmente no deseado (PUP) puede venir incluido en un instalador con una oferta preseleccionada. Puede ser no deseado sin ser malicioso. Revisa las aplicaciones instaladas y las extensiones del navegador, elimina los añadidos no deseados y utiliza las opciones de instalación personalizada para rechazar los extras incluidos.

El malware ataca a los Mac y los teléfonos, además de a los PC con Windows. Un análisis limpio es una prueba útil, pero los síntomas sin resolver siguen necesitando investigación porque el malware oculto o nuevo puede eludir la detección.

La ingeniería social manipula a las personas para que proporcionen acceso, información o realicen una acción. El atacante puede crear urgencia, atribuirse autoridad o apelar a la disposición a ayudar. Un equipo bien configurado no puede impedir que una persona autorice un pago fraudulento.

Reconoce el mensaje y su objetivo

El phishing imita a un remitente de confianza para obtener credenciales, clics o aperturas de archivos adjuntos. El phishing por voz utiliza llamadas; el phishing por mensajes de texto utiliza mensajes escritos; el phishing mediante códigos QR oculta un destino dentro de un código escaneable. Consulta el destino de un QR antes de abrirlo. Un código en un cartel conocido puede haber sido sustituido.

El phishing dirigido utiliza detalles de una persona o equipo concreto. El phishing dirigido a altos cargos tiene como objetivo a los altos directivos. Estos términos describen el objetivo, por lo que un mensaje de texto preparado con información detallada puede ser a la vez phishing por mensajes de texto y phishing dirigido.

El fraude mediante correo electrónico empresarial (BEC) solicita dinero, tarjetas regalo o cambios de datos bancarios mediante una cuenta suplantada o comprometida. Puede no contener enlaces ni adjuntos. Confirma los cambios solicitados en los pagos mediante un número ya registrado. Llamar al número del mensaje sospechoso equivale a seguir las instrucciones del atacante.

Interpreta un destino con precisión

Supón que el personal utiliza normalmente northwind.example. Llega un mensaje de helpdesk@northwind-support.example con el asunto «Buzón lleno: confirma tu cuenta en 2 horas». El enlace visible muestra https://portal.northwind.example, pero su destino es https://northwind.example.login-verify.net/reset.

1. Comprueba la dirección completa del remitente. La palabra añadida cambia el dominio.
2. Inspecciona el destino real sin abrirlo. El texto del enlace puede elegirse libremente.
3. Lee el nombre de host entre https:// y la siguiente barra simple. Su dominio registrado es login-verify.net; las palabras conocidas de su izquierda son subdominios controlados por el propietario de ese dominio.
4. Considera el plazo como una presión para omitir las comprobaciones. Abre el servicio mediante un marcador conocido para investigar de forma independiente.

HTTPS cifra la conexión con el dominio indicado. Un sitio de phishing también puede tener un certificado válido.

Responde sin ampliar el ataque

Comunica los mensajes sospechosos mediante el botón de notificación de la organización o el centro de soporte. No respondas, no abras adjuntos ni pruebes el enlace para ver qué ocurre. Una notificación rápida permite al equipo de soporte eliminar las copias de otros buzones.

Si un usuario introdujo una contraseña, utiliza un dispositivo que se sepa que está limpio para cambiarla, revocar las sesiones activas y buscar métodos de MFA o reglas de reenvío desconocidos. Registra lo ocurrido en una solicitud de soporte. Cambiar solo la contraseña deja otras vías de acceso que conviene revisar.

Comprueba a las personas con el mismo cuidado que los mensajes

La suplantación de identidad utiliza un papel o una historia creíble. El acceso no autorizado siguiendo a una persona autorizada consiste en atravesar tras ella una puerta controlada sin autorización propia. El espionaje por observación directa observa una pantalla o un teclado; cubrir el PIN y utilizar un filtro de privacidad ayuda. La búsqueda de información en residuos busca documentos o unidades útiles en la basura.

Alguien que llama afirmando ser un director puede exigir un restablecimiento urgente. Sigue las comprobaciones de identidad aprobadas, como devolver la llamada al número del directorio o confirmar mediante el procedimiento de solicitudes de soporte. El cargo y la urgencia no sustituyen la verificación. El personal formado también puede caer en un engaño convincente; comunicarlo pronto ayuda más que culpar.

Una vulnerabilidad es una debilidad, como una aplicación sin parches. Una amenaza es algo que podría aprovecharla, como una persona interna malintencionada. Un ataque es el intento de utilizar esa debilidad. Estas palabras identifican partes distintas del problema.

Comprende los intentos de adivinar contraseñas

La fuerza bruta prueba combinaciones posibles. Para un conjunto fijo de caracteres, el espacio de búsqueda es:

Aquí, $a$ es el número de caracteres permitidos y $n$ es la longitud de la contraseña. Con 26 letras minúsculas, 8 caracteres ofrecen unos 209 mil millones de combinaciones. A una tasa ilustrativa sin conexión de 10 mil millones de intentos por segundo, probarlas todas tarda unos 21 segundos. Ocho caracteres elegidos entre 94 símbolos suponen unos 7,1 días a esa tasa; 16 letras minúsculas, unos 138 000 años. Estas cifras comparan espacios de búsqueda completos para elecciones aleatorias. La velocidad real del ataque depende del sistema de cálculo de resúmenes hash de contraseñas y del hardware; las frases predecibles pueden caer mucho antes.

Un ataque en línea envía intentos a un servicio de inicio de sesión activo, donde los bloqueos y los límites de frecuencia lo ralentizan. Un ataque sin conexión trabaja con resúmenes hash de contraseñas robados, fuera de esos controles. Un ataque de diccionario da prioridad a palabras comunes, contraseñas filtradas y variaciones como «Verano2026!». El relleno de credenciales prueba pares de nombre de usuario y contraseña ya filtrados en otros servicios. Las contraseñas largas y únicas y la MFA abordan partes distintas de estos riesgos.

Reconoce la interceptación y las identidades falsas

Un ataque de intermediario sitúa al atacante entre las partes que se comunican. Un punto de acceso gemelo malicioso copia el nombre de una red Wi-Fi legítima para atraer conexiones. No te conectes automáticamente a redes abiertas; comprueba la identidad de la red, utiliza HTTPS, atiende las advertencias de certificado y utiliza la VPN aprobada en redes Wi-Fi públicas. Una VPN protege la ruta de su tráfico, pero no convierte una página falsa de inicio de sesión en una página de confianza.

La falsificación de identidad falsea una identidad, como la dirección del remitente, el identificador de llamada o una dirección MAC. Un ataque de día cero utiliza una debilidad para la que aún no hay una corrección disponible o que el proveedor todavía desconoce. La detección de comportamientos, las cuentas restringidas y los cortafuegos ayudan a limitar la exposición antes de que llegue un parche.

Reconoce los ataques a servicios y aplicaciones

Una denegación de servicio (DoS) sobrecarga un servicio; una denegación de servicio distribuida (DDoS) utiliza muchos orígenes, a menudo una red de dispositivos comprometidos. Una amenaza interna utiliza indebidamente un acceso legítimo de forma intencionada o por descuido.

La inyección SQL hace que una aplicación insegura trate los datos de entrada como comandos de bases de datos. La ejecución de scripts entre sitios (XSS) hace que un sitio web ejecute código del atacante en los navegadores de los visitantes. Un ataque a la cadena de suministro compromete un producto o una actualización de confianza; el ataque a SolarWinds Orion en 2020 es un ejemplo. El personal de soporte mantiene el software actualizado e informa de indicios de compromiso; los desarrolladores corrigen el tratamiento inseguro de los datos de entrada.

Localiza el dispositivo final expuesto

Un dispositivo sin parches carece de correcciones disponibles. Un dispositivo desprotegido carece de protección antivirus o de cortafuegos en funcionamiento. Un dispositivo que incumple la política infringe sus requisitos, quizá por carecer de cifrado. BYOD significa utilizar dispositivos personales para trabajar, cuya seguridad también debe comprobarse.

El software al final de su vida útil (EOL) ya no recibe las correcciones de seguridad habituales. Windows 10 Home y Pro llegaron al fin del soporte el 14 de octubre de 2025; los dispositivos inscritos pueden recibir Actualizaciones de seguridad extendidas durante un tiempo limitado. Sustituye o aísla los sistemas sin soporte. Prioriza las correcciones de debilidades que los atacantes ya están aprovechando.

Una contraseña segura necesita longitud y exclusividad. Añadir caracteres amplía el espacio de búsqueda, pero reutilizar una contraseña segura permite que una brecha afecte a varias cuentas. Los tipos de caracteres, los requisitos de complejidad y la caducidad son ajustes distintos de la política.

Aplica la política comprendiendo su finalidad

Las recomendaciones del NIST de 2025 exigen al menos 15 caracteres para una contraseña utilizada por sí sola. Cuando se utiliza con MFA, el mínimo puede ser 8. Recomiendan admitir al menos 64 caracteres y rechazan las combinaciones obligatorias de tipos de caracteres y los cambios periódicos rutinarios. Se exige cambiarla si hay indicios de compromiso, y deben bloquearse las contraseñas comunes, previsibles o comprometidas.

Muchas empresas siguen exigiendo tipos de caracteres variados, historial de contraseñas o caducidad. Aplica la política de la organización y explica sus ajustes con precisión. Cumplir una regla de complejidad no hace impredecible una palabra conocida: «C0ntr@señ@!» es un objetivo habitual de los intentos de adivinación.

Una frase de contraseña combina palabras aleatorias sin relación. «Violeta bahía tractor canta» tiene 27 caracteres, incluidos los espacios. Una cita famosa, una letra de canción o un dato personal son más fáciles de prever. Mantén cualquier frase de contraseña real en privado y úsala solo en una cuenta.

Utiliza un gestor para facilitar el uso de contraseñas únicas

Un gestor de contraseñas guarda contraseñas en una bóveda cifrada y genera valores largos y aleatorios para sitios distintos. Protege la bóveda con una contraseña maestra segura y MFA. Los gestores del navegador y del sistema operativo pueden ofrecer esta función, al igual que las aplicaciones independientes.

El autocompletado también sirve como comprobación. Un gestor normalmente relaciona el inicio de sesión guardado con su sitio web, por lo que una página de aspecto conocido donde no se ofrece la contraseña guardada merece investigarse. Abre el servicio real por una vía conocida en lugar de copiar las credenciales en la página para forzar el acceso.

Conoce qué controlan los ajustes de Windows

En Windows Pro y ediciones superiores, abre Directiva de seguridad local con secpol.msc y revisa Directivas de cuenta. La directiva de dominio puede gestionar estos ajustes de forma centralizada.

El bloqueo ralentiza los intentos contra el servicio de inicio de sesión activo. No ralentiza a un atacante que prueba resúmenes hash robados sin conexión. Un umbral de fallos muy bajo también permite que un atacante bloquee deliberadamente muchas cuentas y genera llamadas evitables al soporte.

Como ejemplo sencillo de límite de frecuencia, supón que un servicio permite 5 intentos en cada intervalo de 15 minutos. Hay 96 intervalos en un día, por lo que permite 480 intentos diarios. Agotar los 10 000 PIN posibles de cuatro cifras tardaría unos 21 días con ese límite. El comportamiento real del bloqueo depende del umbral, del intervalo de restablecimiento y de la duración configurados.

Restablece sin exponer el secreto

Verifica a quien llama mediante el procedimiento aprobado antes de cambiar nada. Cuando se utilicen contraseñas temporales, establece «El usuario debe cambiar la contraseña en el siguiente inicio de sesión» y entrega el secreto temporal mediante el canal seguro aprobado. Nunca pidas la contraseña actual ni pongas una contraseña en una solicitud de soporte, un chat ordinario o un correo electrónico. Registra las comprobaciones de identidad y la acción, sin registrar el secreto.

La autenticación comprueba una identidad declarada. Sus principales categorías de factores son algo que sabes, como una contraseña; algo que tienes, como una llave de seguridad; y algo que eres, como una huella dactilar. La ubicación y el comportamiento al escribir pueden aportar señales adicionales.

Cuenta categorías, no pantallas

La autenticación multifactor (MFA) combina al menos dos categorías de factores. Una contraseña más un código generado por el teléfono combina conocimiento y posesión. Una contraseña más una pregunta de seguridad utiliza conocimiento dos veces, aunque el servicio muestre dos pantallas.

Una contraseña y una comprobación biométrica también pueden combinar categorías si se implementan como comprobaciones independientes. En teléfonos y dispositivos con Windows Hello, una comprobación local de huella o rostro suele desbloquear una clave protegida en el dispositivo.

Presta soporte a códigos y solicitudes correctamente

Una contraseña de un solo uso basada en el tiempo (TOTP) utiliza un secreto compartido registrado en la aplicación, normalmente escaneando un código QR. La aplicación lo combina con la hora para generar un código, a menudo de seis cifras que cambia cada 30 segundos. No se necesita red para calcularlo, pero un reloj incorrecto puede provocar fallos. Una OTP es válida para un solo uso; un código de seis cifras tiene un millón de valores posibles.

La fatiga de autenticación multifactor, o bombardeo de notificaciones push, envía solicitudes repetidas hasta que alguien aprueba. Los usuarios deben rechazar y comunicar las solicitudes que no hayan iniciado. La coincidencia de números les pide introducir el número de su propia pantalla de inicio de sesión y reduce las aprobaciones sin atención. No convierte un proceso con códigos escritos o retransmitidos en el equivalente de una llave resistente al phishing.

Las llaves de seguridad FIDO2 y las claves de acceso resisten la retransmisión desde sitios falsos porque autentican ante el servicio correcto. Los códigos introducidos en una página falsa pueden reenviarse al servicio real mientras sigan siendo válidos.

Prepara la respuesta a pérdidas sin omitir las comprobaciones de identidad

Si se pierde un teléfono de autenticación, verifica la identidad, revoca el método perdido, utiliza un método alternativo o código de recuperación aprobado y registra el reemplazo. Anima a registrar dos métodos para que una sola pérdida no bloquee el acceso. No registres un teléfono nuevo solo porque quien llama conoce el nombre de usuario.

Los lectores biométricos pueden aceptar por error a la persona incorrecta o rechazar a la correcta. El hardware protegido guarda la plantilla local, y sigue disponible un PIN o una contraseña como alternativa. Un dato biométrico es más difícil de sustituir que una contraseña comprometida.

Reconoce el servicio que hay detrás de la solicitud

Kerberos proporciona vales de duración limitada para iniciar sesión en Windows Active Directory; su tolerancia predeterminada entre relojes es de cinco minutos, así que investiga la sincronización de la hora cuando falle la autenticación en el dominio. RADIUS comprueba el acceso Wi-Fi y VPN. El inicio de sesión único (SSO) permite acceder a varias aplicaciones con un solo inicio de sesión, a menudo mediante aserciones SAML. Proteger ese inicio de sesión central con MFA protege una vía importante de acceso a las aplicaciones conectadas.

Windows separa a quién pertenece la cuenta de qué puede modificar. Una cuenta local, de Microsoft o de trabajo puede tener permisos diferentes. Elegir la identidad correcta no justifica por sí solo el acceso de administrador.

Elige la identidad

Un usuario estándar puede ejecutar aplicaciones instaladas y cambiar ajustes personales. Un administrador también puede realizar cambios de todo el sistema y administrar otras cuentas. Utiliza permisos estándar para el trabajo diario y una identidad de administrador independiente para el mantenimiento aprobado. Esto limita lo que puede cambiar el software iniciado en una sesión ordinaria.

Mantén Invitado deshabilitado. El grupo heredado Usuarios avanzados permanece por compatibilidad y no ofrece permisos adicionales respecto a un usuario estándar de forma predeterminada.

Eleva los privilegios de una tarea sin ascender al usuario

El Control de cuentas de usuario (UAC) mantiene las aplicaciones con permisos ordinarios hasta que se solicita la elevación de privilegios. Un administrador normalmente ve una solicitud de consentimiento; un usuario estándar debe proporcionar credenciales de administrador. El escritorio seguro atenuado ayuda a proteger la solicitud frente a otras aplicaciones.

Un escudo identifica los ajustes que necesitan elevación de privilegios. Hacer clic derecho en un programa y elegir Ejecutar como administrador eleva los privilegios de ese programa. Por ejemplo, una reparación aprobada mediante sfc /scannow necesita una ventana de comandos con privilegios elevados. Confirma el programa y el motivo antes de aprobar. Un programa malicioso con privilegios elevados también puede modificar el sistema.

No conviertas a un empleado en administrador solo para instalar un programa aprobado. Proporciona credenciales autorizadas en la solicitud de UAC para esa tarea. Mantén UAC activado; «No notificarme nunca» elimina una comprobación útil.

Comprende Windows Hello

Windows Hello ofrece un PIN del dispositivo, huella dactilar o reconocimiento facial. El reconocimiento facial necesita hardware de infrarrojos adecuado. Los ajustes sin contraseña pueden ocultar la opción de inicio de sesión con contraseña.

Un PIN de Hello desbloquea una clave protegida por el módulo de plataforma segura (TPM) del dispositivo, con defensas frente a intentos repetidos. No es la contraseña reutilizable enviada a una cuenta en línea. Conocer el PIN sin tener el dispositivo no proporciona el mismo acceso remoto que conocer la contraseña de esa cuenta. Esto explica por qué un PIN local corto y una contraseña larga en línea tienen funciones de seguridad diferentes.

Prepara y mantén el portátil de un empleado

1. Inscríbelo o únelo mediante el procedimiento de cuentas de trabajo aprobado por la organización.
2. Confirma que el empleado tiene permisos estándar y el técnico una identidad de mantenimiento independiente.
3. Configura Hello y mantén UAC en el nivel aprobado.
4. Deshabilita las cuentas locales sin uso y confirma que Invitado sigue deshabilitado.
5. Comprueba que se aplican los ajustes de gestión necesarios.

Un dominio de Active Directory centraliza cuentas y ajustes. La directiva de grupo puede aplicar reglas de contraseñas, cortafuegos y cifrado, scripts de inicio de sesión, asignaciones de carpetas personales y redirección de carpetas. Los destinatarios de la directiva dependen de las unidades organizativas y los grupos de seguridad. gpresult /r muestra la directiva aplicada; gpupdate /force solicita una actualización. Si un ajuste local se revierte continuamente, comprueba la directiva que lo gestiona antes de volver a cambiarlo.

Abre Seguridad de Windows para revisar Protección contra virus y amenazas, Protección de cuentas, Firewall y protección de red, Control de aplicaciones y navegador, y Seguridad del dispositivo. SmartScreen advierte de descargas sospechosas y phishing. Seguridad del dispositivo muestra funciones como el TPM y el arranque seguro.

Mantén activo el antivirus

El Antivirus de Microsoft Defender ofrece comprobaciones en tiempo real, comprobaciones basadas en la nube y protección contra alteraciones. Sus actualizaciones de inteligencia de seguridad contienen información de detección actualizada y llegan mediante Windows Update. Revisa Actualizaciones de protección cuando necesites actualizar las definiciones manualmente.

Desactivar la protección en tiempo real desde la interfaz es temporal; Windows normalmente vuelve a activarla. Un antivirus registrado de otro proveedor pasa a ser el motor principal en tiempo real. Defender puede desactivarse o funcionar en un modo pasivo gestionado, según la configuración. Comprueba qué producto es el responsable antes de considerar un fallo que Defender aparezca inactivo. Dos motores en tiempo real que compiten pueden generar conflictos y ralentizar el equipo.

Elige el análisis que responda al problema

Defender sin conexión es compatible con PC con Windows 11 x64; no está disponible en Windows 11 basado en ARM. Guarda el trabajo del usuario antes de un análisis sin conexión. Tarda unos 15 minutos y ayuda a encontrar malware que se oculta mientras Windows está en ejecución. Revisa después los hallazgos y los síntomas sin resolver.

Una exclusión indica a Defender que omita una ubicación o proceso concreto. Utilízala solo para una necesidad verificada de una aplicación, con el menor alcance aprobado. Excluir Descargas o una unidad completa crea un gran punto ciego. Un instalador bloqueado necesita investigación; desactivar el antivirus para ejecutarlo elimina la comprobación que generó la advertencia.

Ajusta las reglas del cortafuegos a la red

El Firewall de Windows Defender es un cortafuegos del equipo, que protege este dispositivo. Sus perfiles son Dominio para una conexión de dominio reconocida, Privado para una red doméstica o de oficina de confianza y Público para redes desconocidas. Elige Público en una red que no controles. Mantén activada la protección en todos los perfiles.

De forma predeterminada, el cortafuegos bloquea las conexiones entrantes no solicitadas salvo que una regla las permita, y permite el tráfico saliente. Una regla de aplicación permite un programa en los perfiles seleccionados. Las reglas avanzadas de wf.msc también pueden restringir el protocolo, el puerto y las direcciones remotas.

Repara el acceso con un cambio limitado

Supón que el centro de soporte no puede acceder a un PC del dominio mediante Escritorio remoto:

1. Confirma que Escritorio remoto está aprobado y habilitado en el destino.
2. Revisa su regla de entrada existente para TCP 3389.
3. Permite el perfil Dominio y el intervalo de direcciones aprobado del centro de soporte.
4. Prueba desde un origen autorizado y registra el cambio de la regla.

Abrir el mismo puerto en todos los perfiles y para cualquier origen crea exposición innecesaria. Desactivar todo el cortafuegos también elimina protecciones no relacionadas. Una regla debe describir el tráfico necesario con tanta precisión como permita la tarea.

El acceso de un usuario depende de la vía hasta el archivo y de los permisos a lo largo de esa vía. Los permisos NTFS se aplican localmente y por la red. Los permisos de recursos compartidos se aplican solo al acceder a una carpeta compartida a través de la red.

Combina los controles adecuados

NTFS ofrece Control total, Modificar, Lectura y ejecución, Mostrar el contenido de la carpeta, Lectura y Escritura. Los permisos de recursos compartidos ofrecen Control total, Cambiar y Leer. Para el acceso por la red, ambas capas deben permitir al usuario la acción solicitada.

Supón que el recurso compartido Informes concede Leer a Todos, mientras que NTFS concede Modificar al grupo Ventas. Ana pertenece a Ventas:

1. A través del recurso compartido, la capa de uso compartido permite solo leer.
2. NTFS permite modificar, pero no puede añadir un derecho bloqueado por la capa de uso compartido.
3. Por tanto, Ana puede leer por la red. Cuando inicia sesión localmente, el límite del recurso compartido no se aplica, por lo que actúa su permiso NTFS de Modificar.

Un diseño habitual mantiene los permisos del recurso compartido lo bastante amplios para el trabajo previsto y gestiona el acceso detallado mediante grupos NTFS.

Comprende los grupos múltiples y la herencia

Los permisos Permitir derivados de pertenecer a grupos generalmente se suman. Lectura de un grupo y Modificar de otro permiten Modificar. Un Denegar al mismo nivel de prioridad prevalece sobre el Permitir correspondiente, pero las entradas explícitas tienen prioridad sobre las heredadas. Por tanto, un Permitir explícito puede prevalecer sobre un Denegar heredado. La simplificación «Denegar siempre gana» oculta esta distinción.

Los archivos y subcarpetas nuevos normalmente heredan las entradas de la carpeta de destino. Las entradas heredadas aparecen atenuadas. Desactivar la herencia permite convertirlas en entradas explícitas o eliminarlas. Para una subcarpeta privada de Recursos Humanos, revisa el acceso departamental heredado antes de decidir qué entradas deben permanecer.

Concede permisos a grupos cuando sea posible y utiliza Denegar con moderación. La pestaña Acceso efectivo de Configuración de seguridad avanzada ayuda a examinar el acceso NTFS de un usuario concreto. Comprueba los permisos del recurso compartido por separado ante un problema de acceso por la red.

Predice el resultado de copiar y mover

Por ejemplo, mover un archivo restringido entre carpetas del mismo volumen puede mantenerlo restringido aunque los archivos vecinos puedan leerse. Una copia en el destino normalmente recibe los permisos de esa carpeta. Las herramientas con opciones especiales de conservación pueden comportarse de otra forma deliberadamente, así que comprueba la operación utilizada al diagnosticar un resultado inesperado.

Distingue los atributos

Solo lectura, Oculto, Sistema y Archivo modificado son atributos, no sustitutos de los permisos de acceso. attrib +r +h notes.txt marca un archivo como de solo lectura y oculto. Un usuario con permisos adecuados puede cambiar los atributos, y mostrar los archivos ocultos revela sus nombres. Los atributos avanzados también incluyen compresión y cifrado EFS.

Evita conceder Control total a Todos para resolver un fallo de acceso; puede exponer los datos a cuentas que no los necesitan.

El bastionado reduce la superficie de ataque: las cuentas, los servicios, los programas y las conexiones que podrían ofrecer una vía de entrada. Conserva lo que necesita el trabajo, protégelo y elimina los accesos sin uso.

Restringe el acceso a las cuentas

Sustituye las credenciales de administrador de fábrica por otras únicas, cambia el nombre de las cuentas de administrador predeterminadas cuando lo exija la política y deshabilita las cuentas sin uso e Invitado. Cambiar solo el nombre deja la contraseña intacta y no es protección suficiente. Utiliza permisos estándar para el trabajo diario.

Establece fechas de caducidad para trabajadores temporales y restringe las horas de inicio de sesión cuando corresponda. Para una cuenta local, net user jdoe /times:M-F,08:00-18:00 establece las horas de inicio de sesión entre semana; las cuentas de dominio pueden tener horarios gestionados de forma centralizada. Configura el bloqueo por intentos fallidos mediante la política. Comprueba el trabajo previsto y las necesidades de soporte antes de restringir los horarios.

Establece un bloqueo por inactividad breve, como cinco minutos en un PC de oficina, y exige iniciar sesión al volver. Los usuarios pueden pulsar la tecla Windows + L antes de ausentarse y cerrar sesión al final del día. El Bloqueo dinámico utiliza la presencia Bluetooth del teléfono emparejado para ayudar a bloquear el equipo cuando el usuario se aleja.

Protege los ajustes de arranque y los datos almacenados

Una contraseña de administrador o supervisor del firmware protege los ajustes de BIOS/UEFI. Una contraseña de usuario o encendido se solicita antes del arranque. Tienen finalidades diferentes.

Una contraseña de administrador por sí sola puede dejar disponible el menú de arranque puntual desde USB. Pon primero la unidad interna, deshabilita o protege con contraseña el arranque externo y el menú puntual, y conserva el arranque seguro. El cifrado de disco protege los datos si alguien extrae la unidad por completo. Guarda las credenciales del firmware de forma segura; perder una contraseña de un portátil empresarial puede requerir el servicio técnico del fabricante.

Elimina vías innecesarias para ejecutar software

Windows actual no ejecuta automáticamente programas desde unidades USB normales mediante autorun.inf, pero Reproducción automática aún puede ofrecer acciones al insertar medios. En Configuración > Bluetooth y dispositivos > Reproducción automática, desactívala o exige elegir cada vez. La directiva de grupo puede gestionar estas opciones.

Desinstala software de prueba sin uso, complementos obsoletos y aplicaciones innecesarias. Deshabilita los servicios sin uso solo después de comprobar las dependencias en services.msc. Desactivar Escritorio remoto es razonable en un PC sin necesidad aprobada de acceso remoto; deshabilitar un servicio necesario puede, en cambio, impedir el trabajo del usuario.

Mantén al día las correcciones

Instala pronto las actualizaciones de seguridad del sistema operativo, las aplicaciones y los controladores. Prioriza los fallos que ya se estén explotando. Un parche no ayuda hasta que se instala y se completa cualquier reinicio necesario. Sustituye o aísla los productos sin soporte que ya no reciben correcciones.

Para un portátil de reserva de la oficina, una secuencia útil es eliminar cuentas y software antiguos, aplicar las actualizaciones actuales, comprobar el estado del antivirus y del cortafuegos, verificar el bloqueo por inactividad y el cifrado, y probar después las aplicaciones necesarias. Esto confirma que el dispositivo sigue siendo utilizable tras reforzar su seguridad.

Protege también el hardware y la información que lo rodea. Asegura los portátiles desatendidos, evita dejarlos en un coche, guarda bajo llave los documentos impresos sensibles, despeja el escritorio y utiliza filtros de privacidad donde otras personas puedan ver las pantallas. La información de identificación personal (PII) son datos que identifican a una persona y necesitan protección durante todo el trabajo habitual de soporte.

Los datos en reposo están almacenados en un dispositivo; los datos en tránsito se desplazan por una red. El cifrado de disco protege los datos almacenados si se roba un dispositivo apagado o se extrae su unidad. Una vez que el usuario desbloquea una sesión, las aplicaciones y el malware de esa sesión pueden leer los archivos accesibles. Mantén también operativos los bloqueos de pantalla y la protección antimalware.

Selecciona la herramienta de Windows

BitLocker normalmente utiliza un módulo de plataforma segura (TPM) para proteger el material de claves y comprobar la integridad del arranque. Admite TPM 1.2 o posterior; Windows 11 requiere TPM 2.0. Un PIN de inicio añade una comprobación antes del desbloqueo automático. Sin TPM, las configuraciones compatibles utilizan una clave de inicio USB. Ejecuta manage-bde -status para revisar el estado del cifrado y la protección.

Windows 11 versión 24H2 amplió los dispositivos aptos para el cifrado automático. En una configuración limpia compatible, el cifrado puede inicializarse antes de activar la protección. Iniciar sesión con una cuenta de Microsoft o de trabajo guarda una copia de la clave de recuperación y habilita la protección. Una configuración con solo cuentas locales puede dejar una clave sin cifrar, equivalente a una protección suspendida. Comprueba el Estado de protección, no solo el porcentaje cifrado. Las unidades externas necesitan su propia protección.

Recupera el acceso tras un cambio de arranque

La clave de recuperación de BitLocker es una contraseña de recuperación de 48 cifras en ocho grupos de seis. Un identificador de clave identifica el registro correspondiente. Los cambios de firmware, los ajustes de arranque modificados, el traslado de la unidad o los PIN de inicio incorrectos repetidos pueden activar la recuperación.

Ante una pantalla de recuperación tras actualizar el firmware:

1. Busca el registro que coincida con su identificador de clave en el directorio de la organización o la cuenta de Microsoft del propietario.
2. Recupera el valor autorizado de 48 cifras y desbloquea la unidad.
3. Verifica que el cambio de arranque era esperado y comprueba después que la protección está activa.

Guarda la información de recuperación fuera de la unidad cifrada: en el directorio, la cuenta, una ubicación de archivos independiente o una copia impresa protegida que estén aprobados. Microsoft no puede crear una clave que falta. Antes de trabajos previstos en el firmware o hardware, sigue el procedimiento de suspensión aprobado. La suspensión deja los datos cifrados, pero mantiene temporalmente una clave accesible; reanuda la protección tras el cambio y verifícala.

Protege archivos y otras plataformas

EFS utiliza un certificado de usuario y una clave privada para cifrar archivos NTFS seleccionados. El propietario los abre normalmente; los demás usuarios, incluidos los administradores de forma predeterminada, no pueden descifrarlos solo por tener permisos de administrador. Guarda una copia del certificado con su clave privada, normalmente como archivo .pfx protegido, o asegúrate de que exista una clave autorizada de agente de recuperación. De lo contrario, perder el perfil o el restablecimiento de la contraseña local por un administrador puede dejar los archivos inaccesibles. Copiar a FAT32 o exFAT elimina la protección EFS.

BitLocker aborda la posesión de la unidad; EFS aborda el acceso de otros usuarios a archivos seleccionados. FileVault ofrece cifrado de disco del Mac con opciones de recuperación configuradas. Los iPhone y iPad utilizan cifrado y Protección de datos vinculada al código. Los teléfonos Android actuales utilizan cifrado de almacenamiento con protección del bloqueo de pantalla. Los bloqueos seguros y los mecanismos de recuperación probados siguen siendo necesarios en todas las plataformas.

Eliminar un archivo no es un método fiable de saneamiento. En un HDD se elimina la referencia, pero los datos pueden permanecer hasta que se sobrescriban. TRIM y la recolección de basura del SSD pueden borrar bloques eliminados, pero sus plazos no constituyen un procedimiento fiable de eliminación.

Elige el resultado necesario

El marco de saneamiento de medios del NIST distingue tres resultados:

Elige el nivel según la sensibilidad de los datos, la política de la organización y el destino del dispositivo. Confirma que hay copias de seguridad de los datos importantes y que el borrado está autorizado antes de empezar.

Un formato rápido crea un sistema de archivos vacío. En un HDD puede permanecer gran parte del contenido anterior. El formato completo de Windows actual también sobrescribe la partición seleccionada, pero no sanea áreas fuera de ella ni bloques de reserva del SSD. Un verdadero formato de bajo nivel corresponde a la fabricación; las utilidades que utilizan ese nombre generalmente sobrescriben el almacenamiento.

Ajusta el método al medio

Una sobrescritura completa aprobada puede realizar el borrado lógico de un HDD; una pasada basta para las unidades modernas a ese nivel. Repetir pasadas añade tiempo sin una mejora útil de la resistencia a la recuperación ordinaria. A 150 MB/s, escribir 1 TB significa escribir 1 000 000 MB. La división da unos 6667 segundos, o 1 hora y 51 minutos; tres pasadas tardan unas 5,6 horas.

Un SSD distribuye las escrituras mediante nivelación del desgaste y bloques de reserva. Las sobrescrituras del sistema operativo pueden dejar datos antiguos sin borrar. Utiliza un procedimiento aprobado de saneamiento o borrado seguro del fabricante adecuado para esa unidad, o un procedimiento validado de borrado criptográfico, y verifica después que haya finalizado.

El borrado criptográfico hace inaccesibles los datos cifrados al destruir el material de claves necesario para descifrarlos. Los datos deben haberse cifrado adecuadamente y debe eliminarse toda copia utilizable del material de claves correspondiente. Eliminar un archivo de clave de recuperación o quitar un protector de BitLocker es insuficiente. Un procedimiento aprobado de saneamiento del dispositivo gestiona el ciclo de vida de las claves necesario. Los restablecimientos de teléfonos modernos cifrados pueden borrar las claves; cierra la sesión de la cuenta de Apple o Google del propietario antes de una entrega autorizada para que Bloqueo de activación o Protección de restablecimiento de fábrica no bloqueen al siguiente usuario.

Reconoce cuándo es necesaria la destrucción

Una unidad averiada aún puede contener datos legibles. Utiliza destrucción aprobada cuando no pueda completarse el borrado o la política lo exija. La trituración industrial rompe los medios en trozos suficientemente pequeños. Perforar unos agujeros puede dejar fragmentos legibles de platos o chips. La desmagnetización afecta a medios magnéticos como HDD y cintas, no a los chips flash de los SSD. Las instalaciones autorizadas también pueden utilizar incineración.

Para entregar el portátil a otro empleado, realiza el borrado lógico con el método aprobado y después instala la imagen de la empresa. Para un SSD con datos sensibles que sale de la organización, utiliza un método de purga aprobado y comprueba el resultado. Reinstalar mediante una imagen por sí solo puede dejar datos antiguos.

Completa el registro de eliminación

Realiza el seguimiento de los dispositivos mediante una cadena de custodia documentada. El certificado del proveedor de eliminación debe indicar números de serie, fecha y método, y si los medios se destruyeron o reciclaron. Registra las pruebas de verificación además de la acción solicitada. Cumple los requisitos aplicables de protección de datos y residuos electrónicos, y envía los dispositivos y las baterías a canales de reciclaje autorizados.

Una red Wi-Fi necesita cifrado moderno y un método de autenticación adecuado para sus usuarios. Una contraseña compartida segura ayuda a un equipo pequeño, pero las identidades individuales facilitan revocar el acceso a medida que crece la organización.

Elige una generación de seguridad compatible

TKIP fue una solución provisional para hardware antiguo. Es más débil e impide las altas tasas de transferencia del Wi-Fi moderno. Evita «WPA/WPA2 mixto TKIP+AES». AES es el cifrado moderno utilizado por WPA2 y WPA3. WPA3-Enterprise también ofrece un modo opcional de seguridad de 192 bits más robusto.

Elige WPA3 cuando todos los dispositivos lo admitan. El modo de transición WPA2/WPA3 admite dispositivos antiguos, pero estos siguen utilizando protección WPA2. Mantén AES activado y planifica la sustitución del equipo incompatible.

El modo personal comparte un secreto

En el modo personal, todos utilizan una frase de contraseña compartida, normalmente de 8–63 caracteres. WPA2-Personal utiliza una clave precompartida (PSK). Capturar el tráfico de conexión permite a un atacante probar frases de contraseña sin conexión, lo que hace valiosa una frase larga y aleatoria.

WPA3-Personal utiliza autenticación simultánea de iguales (SAE) para resistir los intentos pasivos sin conexión y ofrecer secreto hacia adelante: una filtración posterior de la contraseña no revela el tráfico capturado anteriormente. El funcionamiento exclusivo con WPA3 exige tramas de gestión protegidas (PMF), que protegen ciertos mensajes de gestión frente a falsificaciones. El modo de transición conserva un comportamiento de compatibilidad más débil para clientes WPA2.

Quien conozca el secreto compartido puede seguir conectándose hasta que cambie. Separa a los invitados y cambia el secreto del personal cuando se haya expuesto o un usuario anterior deba perder el acceso.

El modo empresarial comprueba a cada usuario

El modo empresarial, mediante 802.1X, proporciona a los usuarios credenciales o certificados independientes. El punto de acceso transmite la autenticación a un servidor, normalmente RADIUS, conectado al directorio de la organización. Deshabilita la cuenta de un empleado que se marcha sin cambiar la contraseña de todos los dispositivos. Configura los clientes para validar el certificado del servidor de autenticación aprobado; un nombre de red coincidente no basta para confiar en una solicitud de inicio de sesión.

Una clínica dental con 12 empleados podría utilizar WPA3-Personal y una red de invitados aislada para pacientes. Una empresa de 300 personas con cambios frecuentes de personal se beneficia del modo empresarial y el control central de cuentas. La decisión aborda la gestión del acceso además de la solidez del cifrado.

Reconoce las funciones de los protocolos

RADIUS suele dar soporte a Wi-Fi, VPN y acceso remoto. El RADIUS tradicional utiliza UDP 1812 para autenticación y UDP 1813 para registro de actividad; su protección tradicional de paquetes cifra la contraseña, no el paquete completo. TACACS+ utiliza TCP 49, protege el cuerpo del mensaje y separa autenticación, autorización y registro de actividad; gestiona principalmente el acceso de administradores a enrutadores y conmutadores. Kerberos proporciona vales para iniciar sesión en dominios de Windows. La MFA también puede integrarse con sistemas de acceso RADIUS compatibles.

Un enrutador controla el límite entre los dispositivos locales e internet. Su contraseña de administrador protege la configuración; su frase de contraseña Wi-Fi permite que los clientes se conecten. Son secretos diferentes y ambos deben ser seguros y únicos.

Protege primero la vía de administración

Sustituye las credenciales de administrador de fábrica compartidas, incluido el nombre de usuario cuando se admita. Si la configuración pide crear una contraseña, crea una única. Instala el firmware actual y activa las actualizaciones automáticas cuando estén disponibles. Sustituye los enrutadores que ya no reciban correcciones.

Utiliza HTTPS para la página de administración. Deshabilita la administración desde internet (WAN) salvo que exista una necesidad concreta aprobada, y restríngela a clientes de la LAN cableada o direcciones designadas. Quien acceda a la interfaz con credenciales válidas puede cambiar los ajustes de la red.

Configura el acceso inalámbrico

Cambia el SSID de fábrica, el nombre de la red, por un nombre neutro que no revele la dirección del propietario ni el modelo del enrutador. Establece WPA3 o un modo de transición WPA2/WPA3 basado en AES para clientes antiguos. Deshabilita la configuración protegida de Wi-Fi (WPS). Su diseño de PIN comprueba dos partes por separado y reduce la búsqueda teórica desde el espacio completo de ocho cifras a un máximo de 11 000 combinaciones, antes de considerar las defensas de bloqueo.

Ocultar el SSID lo elimina de las listas habituales, pero el tráfico de conexión sigue revelándolo. El filtrado de direcciones MAC también ofrece protección limitada porque un atacante puede copiar una dirección autorizada. Ninguno sustituye al cifrado ni a una autenticación segura.

Separa invitados y servicios expuestos

Crea un SSID de invitados con su propia frase de contraseña. Confirma que los clientes invitados tienen acceso a internet, pero no pueden acceder a los equipos ni impresoras de la oficina. El aislamiento de clientes también puede impedir que los invitados se comuniquen entre sí. Separa los dispositivos del internet de las cosas cuando sea posible, porque pueden tener opciones de actualización y gestión más débiles.

Universal Plug and Play (UPnP) permite que los dispositivos locales soliciten automáticamente asignaciones de puertos de entrada. Desactívalo salvo que una necesidad admitida lo justifique. El malware de un dispositivo local también puede aprovechar esa comodidad.

El reenvío de puertos envía un puerto externo a un dispositivo interno concreto. Para un servidor web aprobado, reenviar TCP 443 a una dirección interna reservada expone ese servicio web. Registra la finalidad y elimina la asignación cuando termine el servicio. El equipo sigue necesitando sus propias actualizaciones y protección de cortafuegos.

El atajo SOHO no es una subred perimetral aislada. Utiliza una asignación de puerto específica cuando se necesite un servicio; reenviar puertos no relacionados amplía la exposición.

Completa las comprobaciones

Mantén activado el cortafuegos del enrutador. El filtrado IP permite o bloquea direcciones concretas, mientras que el filtrado de contenido bloquea categorías de sitios o dominios maliciosos. Deshabilita las aperturas del cortafuegos sin uso y los puertos físicos sin uso cuando el equipo administrable lo permita.

Coloca el enrutador donde los visitantes no puedan pulsar Restablecer ni sustituir cables. Un restablecimiento puede restaurar los ajustes predeterminados. Una ubicación central y una potencia de transmisión adecuada pueden reducir la señal fuera del lugar de trabajo, pero el cifrado sigue siendo esencial donde llegue la señal.

Antes de cerrar la tarea de configuración, prueba el acceso del personal, el aislamiento de invitados y cualquier asignación de servicio necesaria desde la red correcta. Guarda la configuración aprobada y documenta las credenciales en el almacén de secretos autorizado.

Los teléfonos, las tabletas y los portátiles contienen tanto archivos almacenados como acceso activo a cuentas. Combina un bloqueo de pantalla seguro con cifrado, actualizaciones y un plan de recuperación antes de que se pierda el dispositivo.

Establece un bloqueo real

Deslizar no ofrece protección. Los patrones son fáciles de observar y pueden dejar marcas reconocibles. Un PIN gana posibilidades con la longitud: cuatro cifras ofrecen 10 000 combinaciones, mientras que seis cifras ofrecen un millón. Una contraseña larga proporciona un espacio de búsqueda mayor si se elige de forma impredecible.

El desbloqueo por huella y rostro es cómodo, pero la calidad del hardware importa. El desbloqueo facial con una simple cámara puede ser más débil que un PIN adecuado. El PIN o la contraseña de respaldo también debe ser seguro. Establece un bloqueo automático breve, como un minuto, y activa las restricciones de intentos fallidos de la organización.

Las esperas ralentizan los intentos incorrectos repetidos. En iPhone, el ajuste opcional Borrar datos elimina los datos del dispositivo tras diez intentos consecutivos fallidos de introducir el código. Comprueba los mecanismos de copia de seguridad antes de habilitar una política de borrado aprobada. MDM puede imponer los ajustes de códigos e intentos.

Conserva las protecciones de la plataforma

Los iPhone y teléfonos Android modernos utilizan cifrado de almacenamiento con protección mediante código o bloqueo de pantalla. Los portátiles utilizan BitLocker o FileVault. Instala pronto las actualizaciones del sistema operativo y de las aplicaciones, y sustituye los teléfonos de uso laboral que ya no reciban actualizaciones de seguridad.

Instala aplicaciones de tiendas oficiales y evita obtener acceso de superusuario en Android o eliminar las restricciones de iOS, lo que suprime restricciones integradas importantes. Revisa los permisos de gran alcance de las aplicaciones. Las aplicaciones de seguridad de Android pueden analizar otras aplicaciones instaladas dentro de los límites de la plataforma. En iOS y iPadOS, el aislamiento de aplicaciones impide que los antivirus de terceros analicen otras aplicaciones o archivos del sistema; las herramientas de seguridad se centran en funciones como el filtrado de sitios maliciosos y las comprobaciones de configuración.

Prepara y utiliza herramientas de recuperación

Buscar de Apple y Localizador de Google pueden localizar un dispositivo perdido compatible, reproducir un sonido, protegerlo y solicitar su borrado. Confirma de antemano la inscripción en el servicio de localización. Un borrado remoto requiere que el dispositivo reciba el comando, por lo que un dispositivo sin conexión puede dejar la solicitud pendiente. El cifrado protege los datos almacenados mientras esperan las acciones de recuperación.

Guarda copias de los datos importantes mediante el servicio aprobado, como iCloud, la copia de seguridad de Google o OneDrive. Tras una pérdida, bloquea o marca el dispositivo como perdido, sigue la política de borrado remoto, revoca las sesiones o credenciales expuestas y registra el suceso. Restaura los datos en un reemplazo desde una copia de seguridad de confianza.

Aplica el alcance de gestión adecuado

La gestión de dispositivos móviles (MDM) inscribe dispositivos para aplicar controles centrales. Un perfil de configuración puede distribuir ajustes de Wi-Fi, VPN y correo o exigir cifrado, una versión mínima del sistema operativo y un código. Los dispositivos que incumplan los requisitos pueden quedar bloqueados para los servicios laborales.

Un borrado selectivo elimina los datos de la organización y conserva las fotos y aplicaciones personales del propietario dentro del modelo de gestión admitido. Explica ese alcance durante la inscripción. Para un empleado que se marcha y utiliza un teléfono personal, verifica que se elimina el perfil de trabajo y se revocan las sesiones de la cuenta; no selecciones el borrado completo del dispositivo cuando solo esté autorizada la eliminación del trabajo.

Un síntoma es una pista que investigar, no un nombre de malware. Busca patrones, determina cuándo empezaron y comprueba explicaciones comunes junto con causas de seguridad.

Identifica el patrón

Las señales de alerta en un PC incluyen redes inaccesibles, alertas o notificaciones inesperadas, archivos alterados, fallos de actualización, software de seguridad desactivado y uso intenso de CPU, disco o red en reposo. Las señales del navegador incluyen ventanas emergentes repetidas, redirecciones, barras de herramientas o extensiones desconocidas, ajustes de búsqueda modificados, advertencias de certificado y bajo rendimiento.

En dispositivos móviles, vigila el uso de datos inusualmente alto, el sobrecalentamiento, la descarga de la batería, la respuesta lenta, las aplicaciones desconocidas, los anuncios excesivos, los avisos falsos, los archivos filtrados y la pérdida de conectividad. Las fuentes de aplicaciones no oficiales, el acceso de superusuario o la eliminación de restricciones de iOS y los ajustes de desarrollador innecesarios aumentan el riesgo. La suplantación de aplicaciones hace que una aplicación falsa parezca de confianza.

Un teléfono caliente por sí solo puede estar actualizándose o ejecutando una aplicación exigente. El calor combinado con una aplicación desconocida y un uso de red sin explicación da más motivos para investigar esa aplicación.

Descarta fallos comunes con comprobaciones útiles

Pregunta qué vio el usuario, cuándo empezó y qué instaló o abrió poco antes. El Administrador de tareas muestra procesos y elementos de inicio. Revisa las aplicaciones instaladas, las extensiones del navegador y las entradas pertinentes del Visor de eventos. El archivo hosts en C:\Windows\System32\drivers\etc\hosts puede redirigir nombres si se modifica; compara las entradas inesperadas con la configuración aprobada antes de cambiarlas.

Si el reloj es incorrecto, corrígelo mediante los ajustes de hora aprobados y vuelve a probar el sitio web. No descartes una advertencia de certificado ignorándola para continuar. Si una unidad está fallando, un análisis de malware por sí solo no reparará su hardware.

Responde a patrones reconocibles

Los resultados de búsqueda modificados, una barra de herramientas nueva y los anuncios en sitios no relacionados apuntan a software publicitario o a un secuestrador del navegador. Sigue el procedimiento de eliminación e inspecciona las extensiones y aplicaciones instaladas. Los archivos cifrados o renombrados de repente junto con exigencias de rescate requieren aislamiento inmediato de la red, porque el almacenamiento compartido también puede verse afectado.

Una página del navegador que anuncia «¡Tu PC está infectado! Llama ahora al soporte de Microsoft» es software de falsas alertas de seguridad. Los mensajes auténticos de error y advertencia de Microsoft no proporcionan un teléfono de soporte. Cierra la página; utiliza el Administrador de tareas para cerrar el navegador si es necesario. No llames ni instales la herramienta ofrecida. Realiza después las comprobaciones adecuadas.

Si el usuario ya permitió que un desconocido se conectara a distancia, trata el dispositivo como comprometido y cambia las contraseñas expuestas desde un dispositivo limpio. Registra el acceso remoto y sigue el procedimiento de escalamiento de la organización. Una página que afirma que hay una infección y un compromiso confirmado requieren conclusiones diferentes, aunque hayan empezado con el mismo aviso.

Un procedimiento estructurado de eliminación controla la propagación, limpia el dispositivo y comprueba que sea seguro devolverlo. Sigue las reglas de escalamiento de seguridad de la organización en los dispositivos gestionados. La secuencia estándar para estaciones de trabajo incluye tareas de Restaurar sistema en los PC con Windows que lo utilizan.

Investiga y después pon en cuarentena

Registra los síntomas, la hora de inicio y las acciones recientes del usuario. Comprueba causas alternativas evidentes, como una hora incorrecta o un disco lleno. Ante indicios de ransomware activo, desconecta pronto mientras continúas la investigación.

La cuarentena consiste en separar el dispositivo afectado de la red: desconecta Ethernet y desactiva Wi-Fi. Evita conectar unidades extraíbles que puedan transportar la infección. Identifica los medios utilizados para transferencias para analizarlos o sanearlos después. El aislamiento limita la propagación y la transferencia adicional de datos; no elimina el malware que ya está presente.

Elimina los puntos de restauración contaminados

Antes de limpiar, desactiva Restaurar sistema en un PC con Windows que lo utilice, conforme a la política. Se eliminan los puntos de restauración existentes porque pueden conservar malware. Restaurar sistema registra partes seleccionadas del estado del sistema; no es el servicio independiente de copia de seguridad de los datos del usuario. Registra esta acción para restaurar la protección en el momento adecuado.

Corrige la infección con herramientas actualizadas

1. Actualiza el motor antimalware y las definiciones. Para un PC aislado, utiliza un paquete de actualización de confianza obtenido en un dispositivo limpio y medios de transferencia aprobados.
2. Analiza y elimina mediante un entorno adecuado. El modo seguro inicia un conjunto limitado de componentes de Windows. Un entorno de preinstalación, un medio de arranque de confianza o Defender sin conexión funciona fuera de la sesión infectada normal.
3. Revisa las entradas de inicio, las tareas programadas y las extensiones del navegador en busca de persistencia, los ajustes que vuelven a iniciar código no deseado.
4. Vuelve a analizar y comprueba los síntomas originales. Investiga una infección que reaparece en lugar de tratar cada alerta nueva como algo no relacionado.

Un rootkit puede ocultarse de las herramientas dentro de Windows normal. Un análisis rápido limpio por sí solo no explica las señales persistentes.

Reinstala cuando no pueda recuperarse la confianza

Si no puede eliminarse con confianza un rootkit, ransomware o una infección recurrente, borra y reinstala desde una fuente limpia del sistema operativo o una imagen corporativa aprobada. Restaura los datos del usuario desde una copia de seguridad comprobada en busca de infecciones. Un compromiso del firmware también puede necesitar una recuperación de firmware aprobada por el fabricante; reinstalar Windows no sustituye el firmware.

Reinstalar mediante una imagen es un método de recuperación, pero sigue siendo necesario un borrado seguro cuando deban sanearse los datos antiguos. Mantén las copias limpias separadas del sistema infectado para que la copia de recuperación no se cifre ni altere junto con los archivos activos.

Restaura la protección y completa la entrega

Programa análisis periódicos e instala actualizaciones del sistema operativo, las aplicaciones y las definiciones. Vuelve a activar Restaurar sistema y crea un punto de restauración limpio nuevo después de la limpieza. Crearlo demasiado pronto puede conservar la infección otra vez.

Si hubo software espía, un registrador de pulsaciones o robo de credenciales, cambia las contraseñas afectadas desde un dispositivo limpio y revisa el acceso a las cuentas. Enseña al usuario la medida de prevención pertinente, como obtener actualizaciones desde la página real del proveedor en lugar de una ventana emergente. Documenta los hallazgos, el aislamiento, las herramientas, los resultados, la fuente de recuperación y las comprobaciones finales en la solicitud de soporte antes de devolver el dispositivo.

La prevención combina herramientas que detectan fases diferentes de un ataque. El antivirus comprueba el software, el filtrado de correo examina los mensajes antes de entregarlos, el cortafuegos del equipo limita las conexiones y los usuarios pueden reconocer solicitudes sospechosas. Mantén cada control actualizado para que una amenaza que pase inadvertida encuentre otra comprobación.

Reconoce las funciones de las herramientas

La detección por firmas compara patrones de amenazas conocidas y necesita actualizaciones de definiciones. La detección heurística o basada en el comportamiento busca acciones sospechosas, como el cifrado rápido de muchos documentos, incluidas amenazas sin una firma de archivo conocida.

La detección y respuesta en dispositivos finales (EDR) registra la actividad de los dispositivos, detecta comportamientos sospechosos y permite acciones como el aislamiento remoto. La detección y respuesta gestionadas (MDR) proporciona un equipo externo para realizar la detección y respuesta. La detección y respuesta extendidas (XDR) conecta información de dispositivos finales, correo electrónico, redes e identidades en la nube. Son capacidades y servicios relacionados, no tres nombres intercambiables para el antivirus.

Una pasarela de seguridad del correo electrónico comprueba correo no deseado, phishing, adjuntos y enlaces antes de la entrega, a veces probando archivos en un entorno aislado. El filtrado puede pasar por alto solicitudes convincentes, especialmente fraudes de pagos sin enlaces. La formación del usuario y la notificación rápida siguen siendo útiles.

Confía en la vía de descarga y verifica el archivo

Obtén software de su proveedor o de una tienda oficial de aplicaciones. Una ventana emergente que anuncia una actualización del navegador no es una vía de distribución de confianza. Si un proveedor publica un resumen hash SHA-256, calcula el del archivo descargado en PowerShell:

Get-FileHash .\setup.exe -Algorithm SHA256

También puedes utilizar certutil -hashfile setup.exe SHA256. Compara los 64 caracteres hexadecimales con el valor obtenido mediante la vía de confianza del proveedor. Una diferencia significa que el archivo es distinto o está dañado: no lo ejecutes. Un resumen hash coincidente obtenido de una página controlada por un atacante solo confirmaría la coincidencia con esa página, por lo que importa el origen de la referencia.

Mantén el navegador

Deja activadas las actualizaciones automáticas y reinicia cuando sea necesario para completarlas. Instala solo las extensiones necesarias de tiendas oficiales y editores de confianza. Revisa los permisos solicitados: «Leer y modificar todos tus datos en todos los sitios web» concede un acceso amplio. Elimina las extensiones desconocidas o sin uso. Las organizaciones pueden controlar de forma centralizada los ajustes de extensiones y funciones.

Mantén activado el bloqueo de ventanas emergentes. Un bloqueador de anuncios aprobado también puede reducir la exposición a anuncios maliciosos. Borrar la caché y los datos de navegación puede resolver problemas de visualización y eliminar datos locales almacenados en equipos compartidos. Comprueba los ajustes de proxy cuando redirecciones inexplicadas sugieran que el tráfico se está desviando.

El DNS seguro, normalmente DNS sobre HTTPS, cifra las consultas de nombres. Un proveedor DNS con filtrado también puede bloquear dominios dañinos conocidos. Cifrar la consulta y filtrar su respuesta son funciones independientes.

Interpreta los indicadores de privacidad y conexión

HTTPS con un certificado válido protege una conexión con el dominio indicado; el propietario aún puede gestionar un sitio fraudulento. Una advertencia de certificado puede indicar un nombre incorrecto, un certificado caducado, un emisor no confiable o una interceptación. Investígala, especialmente antes de iniciar sesión o pagar.

La navegación privada limita el historial, las cookies y los datos de formularios conservados localmente tras cerrar la sesión privada. Los sitios web, empleadores, operadores de red y proveedores de internet aún pueden observar actividad; las descargas pueden permanecer en el disco. No ofrece protección frente al malware.

La sincronización del navegador puede copiar contraseñas, marcadores e historial a otros dispositivos con la sesión iniciada. Protege la cuenta de sincronización con MFA y evita la sincronización personal en equipos compartidos o públicos.