Un móvil, un router o una cámara conectada pueden seguir funcionando con aparente normalidad mientras un ciberdelincuente los controla en segundo plano. En este artículo explico qué es una botnet, cómo consigue infectar dispositivos, para qué se utiliza y qué pasos recomiendo seguir para detectarla, prevenirla o eliminarla.
Una botnet convierte dispositivos infectados en una red controlada a distancia
- Botnet significa red de dispositivos infectados con malware.
- El atacante puede coordinar miles de equipos sin que sus propietarios lo sepan.
- Sus usos habituales incluyen ataques DDoS, spam, robo de datos y minería de criptomonedas.
- Los dispositivos IoT, como routers, cámaras y televisores inteligentes, tienen un riesgo especialmente alto.
- Actualizar sistemas, cambiar contraseñas y activar la autenticación multifactor reduce mucho la exposición.
Botnet, qué es exactamente y por qué debería importarte
Una botnet es una red de ordenadores, móviles, routers u otros dispositivos conectados a Internet que han sido infectados con un programa malicioso. Ese programa permite que un tercero los controle de forma remota y los utilice de manera coordinada.
El dispositivo afectado recibe el nombre de bot, aunque también se habla de dispositivo zombi. Puede seguir permitiendo que abras aplicaciones, navegues o veas vídeos, pero al mismo tiempo consume recursos, se comunica con sistemas externos o ejecuta órdenes sin tu permiso.
La palabra botnet combina los términos ingleses robot y network. Lo importante no es solo que exista malware en un equipo, sino que ese equipo pasa a formar parte de una red organizada. Cuantos más dispositivos reúne el atacante, mayor capacidad tiene para actuar contra terceros.
En mi experiencia, el error más frecuente es pensar que una botnet siempre bloquea el ordenador o muestra una alerta visible. Muchas infecciones buscan justo lo contrario. Cuanto menos llame la atención el dispositivo, más tiempo puede seguir siendo útil para quien lo controla.
La diferencia entre un bot y una botnet
Un bot es un dispositivo infectado o el software que permite controlarlo. Una botnet es el conjunto de muchos bots coordinados. La diferencia se entiende fácilmente con un ejemplo: un ordenador infectado puede enviar correos basura, mientras que una red formada por miles de ordenadores puede enviar millones en poco tiempo.
Tampoco debe confundirse una botnet con cualquier herramienta de administración remota. Un programa legítimo de soporte técnico funciona con autorización y controles visibles. En una botnet, el propietario del dispositivo no ha dado permiso para ejecutar esas acciones.
Cómo se crea y cómo funciona una red de bots
El proceso suele comenzar cuando el usuario descarga un archivo peligroso, abre un enlace fraudulento, instala software pirateado o mantiene un dispositivo sin actualizar. También puede producirse mediante contraseñas débiles, fallos de seguridad conocidos o servicios expuestos directamente a Internet.
Una vez dentro, el malware intenta mantenerse activo y ponerse en contacto con la infraestructura del atacante. Esa comunicación puede realizarse con un servidor de comando y control, conocido como C2, que envía instrucciones y recibe información sobre los equipos infectados.
El ciclo de funcionamiento
- Infección. El dispositivo ejecuta el malware aprovechando un engaño, una vulnerabilidad o una credencial robada.
- Registro. El programa se comunica con la infraestructura de control y queda identificado como parte de la red.
- Recepción de órdenes. El atacante indica qué debe hacer cada grupo de dispositivos.
- Ejecución coordinada. Los bots envían tráfico, mensajes, solicitudes o datos según la tarea asignada.
- Mantenimiento. El malware puede actualizarse, ocultarse o intentar infectar otros dispositivos.
No todas las botnets dependen de un único servidor. Algunas utilizan una arquitectura peer to peer, o P2P, en la que los propios dispositivos infectados intercambian instrucciones. Este diseño dificulta desmantelar la red porque no existe un único punto de control que pueda cerrarse.
En los últimos años también han ganado peso los dispositivos IoT, como cámaras de vigilancia, decodificadores, enchufes inteligentes y routers domésticos. Suelen permanecer conectados todo el día y, en ocasiones, reciben menos actualizaciones que un ordenador o un móvil. El dato tiene una consecuencia clara: un aparato que apenas utilizas también puede convertirse en un recurso para el atacante.
Para qué se utiliza una botnet y qué daños provoca
El objetivo depende del grupo criminal y del tipo de malware, pero casi siempre busca obtener dinero, capacidad de ataque o información. No todas las redes realizan exactamente la misma tarea, y una misma infraestructura puede cambiar de uso después de recibir una actualización.
| Uso malicioso | Qué ocurre | Impacto habitual |
|---|---|---|
| Ataques DDoS | Miles de dispositivos envían peticiones simultáneas a una web o servicio. | La página se ralentiza o deja de estar disponible. |
| Spam y fraude | Los bots distribuyen correos, mensajes o enlaces engañosos. | Abuso de cuentas, estafas y daño de reputación. |
| Robo de información | El malware captura contraseñas, archivos, cookies o pulsaciones del teclado. | Acceso no autorizado a cuentas y datos personales. |
| Minería no autorizada | El equipo utiliza procesador o tarjeta gráfica para generar criptomonedas. | Más consumo eléctrico, lentitud y desgaste del hardware. |
| Proxy residencial | El atacante utiliza la conexión del usuario para ocultar el origen de sus operaciones. | La dirección IP puede quedar relacionada con actividades sospechosas. |
El ataque DDoS es probablemente el ejemplo más conocido. DDoS significa denegación de servicio distribuida y consiste en enviar tal cantidad de tráfico que el servicio legítimo no puede atender a sus usuarios. El problema no está en un único ordenador potente, sino en la suma de miles de conexiones.
Para una persona, el daño puede parecer menor al principio. Un ordenador más lento, una batería que dura menos o un consumo de datos extraño pueden ser las primeras señales. Sin embargo, si el malware roba credenciales, la consecuencia puede extenderse a cuentas bancarias, correo electrónico, redes sociales y servicios de trabajo.
También existe un riesgo de privacidad. Aunque el atacante no esté interesado directamente en tus fotografías o documentos, el dispositivo puede revelar horarios de conexión, direcciones IP, hábitos de navegación o nombres de usuario. Esa información ayuda a preparar ataques posteriores.
Cómo saber si tu dispositivo forma parte de una botnet
No existe un síntoma único que confirme una infección. Lo más útil es observar cambios persistentes y comprobarlos con herramientas de seguridad. Una señal aislada puede deberse a una aplicación pesada o a una mala cobertura, pero varios indicios al mismo tiempo merecen una revisión.
- El equipo funciona lento incluso cuando no tienes programas abiertos.
- El ventilador permanece activo o el dispositivo se calienta sin motivo evidente.
- El consumo de datos aumenta de forma inesperada.
- El router muestra actividad continua cuando nadie está utilizando Internet.
- Aparecen aplicaciones, extensiones o procesos que no reconoces.
- La batería del móvil se agota mucho antes de lo habitual.
- El antivirus se desactiva o deja de actualizarse.
- Tus contactos reciben mensajes que no has enviado.
- Una empresa, un proveedor de Internet o un servicio antibotnet te notifica actividad sospechosa asociada a tu conexión.
Lee también: Adware, qué es y cómo eliminarlo sin riesgos
Qué puede comprobar un usuario doméstico
Empieza por actualizar el sistema y ejecutar un análisis completo con una solución antimalware fiable. Conviene revisar también las aplicaciones instaladas, los programas que se inician automáticamente y los dispositivos conectados al router. No instales cinco antivirus a la vez, porque pueden interferir entre sí y no sustituyen una investigación ordenada.
Si el aviso procede de tu proveedor o de una herramienta de seguridad, revisa la fecha y la hora indicadas. La dirección IP identifica la conexión a Internet, pero no siempre señala qué aparato está infectado. Puede tratarse de un ordenador, una cámara, un televisor o un router conectado en ese momento.
En España, el servicio AntiBotnet de INCIBE puede ayudar a comprobar incidentes asociados a una conexión pública y ofrece herramientas de limpieza. En un balance reciente, el organismo señaló que el 85 % de los sistemas infectados identificados por su equipo estaban relacionados con dispositivos inteligentes. La cifra explica por qué no conviene limitar la revisión al portátil.
Qué hacer si sospechas que estás infectado
Si la sospecha es razonable, desconecta primero el dispositivo de Internet mediante el cable o la red Wi-Fi. Esta medida corta la comunicación con el atacante y evita que el equipo siga participando en actividades maliciosas mientras averiguas qué ocurre.
- Aísla el dispositivo. Desconéctalo de Internet y, si es posible, sepáralo de la red doméstica.
- Analízalo. Utiliza el antivirus instalado y, si no basta, una herramienta específica de eliminación.
- Protege tus cuentas. Cambia las contraseñas desde otro dispositivo limpio y activa la autenticación multifactor.
- Actualiza todo. Revisa el sistema operativo, el router, las aplicaciones y los dispositivos IoT.
- Restablece cuando sea necesario. En una infección persistente, una restauración de fábrica o una reinstalación limpia puede ser la opción más segura.
- Revisa la red. Cambia la contraseña del Wi-Fi, utiliza un cifrado moderno y elimina dispositivos que ya no reconozcas.
Yo no empezaría formateando sin comprobar nada si se trata de un equipo de empresa o si puede haber información relevante para una investigación. En esos casos es mejor avisar al responsable de sistemas y conservar los datos necesarios. Para un dispositivo personal sin información crítica, una instalación limpia y la recuperación desde copias seguras suele ser más fiable que intentar borrar manualmente cada rastro.
Si has utilizado el equipo infectado para entrar en correo, banca o redes sociales, considera comprometidas las sesiones abiertas. Cambiar solo una contraseña no siempre basta, porque el atacante podría haber robado cookies o tokens de acceso. Cierra las sesiones activas, revisa los métodos de recuperación y comprueba si se han creado reglas extrañas en el correo.Los usuarios de España también pueden acudir al 017 de INCIBE, un servicio gratuito y confidencial disponible para resolver dudas de ciberseguridad. Si el incidente afecta a una empresa, conviene documentar qué ocurrió, cuándo se detectó y qué sistemas estaban conectados.
Cómo prevenir una infección en casa o en la empresa
La defensa más eficaz no depende de una aplicación milagrosa, sino de reducir las oportunidades de entrada y limitar el daño si algo falla. Mantener el software actualizado suele aportar más protección real que cambiar continuamente de herramienta de seguridad.- Instala las actualizaciones del sistema, navegador, router y dispositivos inteligentes.
- Utiliza contraseñas largas y únicas, especialmente en el router y las cámaras.
- Activa la autenticación multifactor en correo, banca, redes sociales y servicios profesionales.
- Descarga aplicaciones únicamente desde tiendas y páginas oficiales.
- No abras archivos inesperados aunque parezcan proceder de un contacto conocido.
- Desactiva servicios de administración remota que no utilices.
- Cambia las credenciales predeterminadas de los dispositivos IoT.
- Separa los aparatos inteligentes en una red de invitados cuando el router lo permita.
- Conserva copias de seguridad desconectadas o protegidas frente a modificaciones.
En una empresa, la prevención debe incluir registros de red, protección de endpoints y alertas sobre conexiones salientes anómalas. Un sistema EDR, que supervisa el comportamiento de los equipos y responde ante amenazas, puede detectar actividades que un antivirus tradicional no identifica de inmediato. La monitorización de las comunicaciones salientes es especialmente útil porque una botnet necesita contactar con su infraestructura de control.
Hay una medida que se suele pasar por alto: retirar o sustituir dispositivos que ya no reciben actualizaciones. Un aparato barato puede parecer una ganga, pero si queda expuesto durante años sin parches, se convierte en un punto débil permanente. En seguridad, el coste de mantener un equipo obsoleto puede superar rápidamente su precio de compra.
La idea esencial para no subestimar una botnet
Una botnet no es simplemente un virus que ralentiza el ordenador. Es una red de dispositivos comprometidos que puede utilizarse para atacar servicios, enviar fraude, robar información o encubrir otras actividades criminales. El propietario puede no notar nada durante días o semanas.
La respuesta más sensata combina tres hábitos. Mantén los dispositivos actualizados, utiliza contraseñas únicas con autenticación multifactor y revisa cualquier cambio extraño en el rendimiento o el consumo de red. Si aparece una alerta, actúa pronto, aísla el equipo y busca ayuda especializada antes de volver a conectarlo.