Cómo evitar keyloggers y proteger tus cuentas si sospechas una infección

Una contraseña puede quedar expuesta sin que nadie la vea si un programa registra cada pulsación del teclado. Para evitar un keylogger conviene combinar protección técnica, hábitos seguros y métodos de acceso que reduzcan la dependencia de las contraseñas, además de saber cómo actuar ante una posible infección.

Qué es un keylogger y por qué resulta tan peligroso

Un keylogger es una herramienta que registra las teclas que pulsas. Los modelos maliciosos pueden capturar contraseñas, mensajes, números de tarjeta y códigos de acceso, y enviar esa información a un tercero. Algunos funcionan como software espía dentro del sistema, mientras que otros son dispositivos físicos conectados entre el teclado y el ordenador.

La infección suele llegar mediante un troyano disfrazado de programa legítimo, un archivo adjunto, una actualización falsa o un enlace de phishing. También puede aparecer después de instalar una extensión dudosa o de ejecutar software pirateado. INCIBE señala precisamente estas vías como algunos de los escenarios habituales de entrada.

Hay una diferencia importante entre un programa que registra teclas con autorización, por ejemplo una herramienta de accesibilidad, y un keylogger instalado sin consentimiento. El antivirus puede detectar comportamientos sospechosos, pero ninguna herramienta ofrece una garantía absoluta, especialmente si el atacante tiene acceso físico al dispositivo.

Las medidas que más reducen el riesgo

La primera barrera es mantener el equipo en condiciones seguras. Activa las actualizaciones automáticas de Windows, macOS, Android o iOS, y no retrases los parches del navegador, el lector de PDF o las aplicaciones que utilizas a diario. Una vulnerabilidad sin corregir puede permitir la instalación del malware incluso aunque el resto de tus hábitos sean buenos.

En Windows, comprueba que Microsoft Defender Antivirus tenga activa la protección en tiempo real y realiza un análisis completo cuando existan indicios. Microsoft también recomienda mantener habilitada la protección frente a aplicaciones potencialmente no deseadas. En otros sistemas, utiliza una solución de seguridad reconocida y evita instalar varios antivirus que puedan interferir entre sí.

• Descarga desde fuentes oficiales y revisa el nombre exacto del desarrollador.
• No desactives el antivirus para instalar un programa que lo exige.
• Limita los permisos de las aplicaciones y extensiones del navegador.
• Usa una cuenta sin privilegios de administrador para el uso diario del ordenador.
• Activa el cortafuegos y la protección del navegador contra sitios peligrosos.
• Haz copias de seguridad de los documentos importantes en una unidad separada o servicio fiable.

El sentido común también cuenta, aunque suene menos sofisticado. Un instalador que llega por un correo inesperado, un documento que pide habilitar macros o una ventana que exige desactivar la protección son señales claras para detenerse. Ante la duda, cierra el mensaje y busca manualmente la página oficial, en lugar de seguir el enlace recibido.

Cómo proteger tus cuentas aunque roben las pulsaciones

La autenticación multifactor añade una segunda comprobación después de la contraseña. Puede ser una aplicación de códigos, una notificación, una llave de seguridad o un dato biométrico. No bloquea por sí sola al keylogger, pero hace que la contraseña capturada no baste para entrar en la mayoría de las cuentas.

Cuando un servicio permite utilizar passkeys, prefiero esta opción. Las claves de acceso se vinculan al sitio legítimo y no se escriben como una contraseña convencional, por lo que resisten mejor el phishing y reducen la información útil que un registrador de teclas puede obtener.

Un gestor de contraseñas también ayuda, pero conviene entender sus límites. Rellena credenciales sin obligarte a escribirlas y facilita tener una clave distinta para cada servicio, aunque un equipo infectado podría capturar otras acciones o intentar manipular el navegador. Por eso debe combinarse con bloqueo del dispositivo, MFA y software actualizado.

Para cuentas bancarias, correo principal y servicios de trabajo recomiendo priorizar passkeys o una llave de seguridad cuando estén disponibles. El SMS es mejor que no tener ninguna protección, pero lo considero una alternativa secundaria porque depende de la seguridad de la línea telefónica y de la operadora.

Qué hacer si sospechas que tu equipo está infectado

Un keylogger puede trabajar sin mostrar síntomas evidentes. Aun así, conviene investigar si aparecen procesos desconocidos, extensiones que no instalaste, alertas del antivirus, consumo anormal de recursos o accesos extraños en tus cuentas. La lentitud por sí sola no demuestra una infección, así que no conviene borrar archivos del sistema sin saber qué son.

1. Desconecta el dispositivo de Internet mediante el Wi-Fi o el cable de red.
2. No introduzcas más contraseñas ni abras aplicaciones sensibles en ese equipo.
3. Desde otro dispositivo confiable, cambia primero la contraseña del correo principal y después las más importantes.
4. Revoca sesiones abiertas, revisa dispositivos conectados y elimina métodos de recuperación desconocidos.
5. Actualiza el antivirus y ejecuta un análisis completo; en Windows puedes añadir un análisis sin conexión.
6. Si el problema persiste, solicita ayuda profesional o reinstala el sistema después de conservar los archivos esenciales.

El orden importa. Cambiar las contraseñas desde el ordenador posiblemente comprometido puede entregar las nuevas credenciales al atacante. También conviene guardar capturas, correos y avisos de inicio de sesión, ya que pueden ser útiles para denunciar el incidente o reclamar una operación bancaria.

En España, el servicio 017 de INCIBE ofrece orientación gratuita en materia de ciberseguridad. Si hay fraude económico, contacta cuanto antes con el banco, bloquea las operaciones necesarias y presenta denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado.

El riesgo que no cubre un antivirus

Los keyloggers de hardware se conectan físicamente al teclado, al puerto USB o a otro componente. Como no son un proceso instalado en el sistema operativo, un análisis antivirus puede no detectarlos. Antes de introducir credenciales en un ordenador compartido, revisa el cable, los puertos y cualquier adaptador que no reconozcas.

En casa, limita el acceso físico al ordenador y no dejes sesiones abiertas. En una oficina, un aula, un hotel o un cibercafé, evita entrar en la banca online desde equipos que no administras. El teclado virtual puede reducir la captura de pulsaciones en algunos casos, pero no es una solución completa porque un malware puede registrar clics, capturas de pantalla o el contenido del portapapeles.

El móvil tampoco queda fuera del problema. Instala aplicaciones solo desde Google Play o App Store, revisa los teclados activos y desconfía de cualquier aplicación que solicite permisos de accesibilidad sin una razón clara. Si un teclado de terceros tiene acceso excesivo, elimínalo y vuelve al teclado del sistema hasta verificar su legitimidad.

Errores habituales al intentar evitar un keylogger

El error más común es pensar que basta con instalar una aplicación antikeylogger. Las soluciones especializadas pueden aportar una capa adicional, pero muchas promesas comerciales son difíciles de verificar y algunas aplicaciones que se anuncian como protectoras son, precisamente, software no deseado. Me parece más sensato invertir primero en actualizaciones, copias de seguridad y autenticación multifactor.

• Usar el mismo password en todas las cuentas.
• Instalar programas pirateados o cracks porque “solo se usarán una vez”.
• Desactivar las alertas de seguridad para evitar avisos molestos.
• Confiar únicamente en el modo incógnito del navegador, que no elimina el malware.
• Seguir utilizando una cuenta después de recibir avisos de acceso extraño.
• Conectar memorias USB o teclados encontrados sin revisarlos.

Tampoco recomiendo cambiar las contraseñas cada pocos días sin motivo. Es más útil utilizar claves largas, únicas y almacenadas en un gestor, y cambiarlas de inmediato cuando exista una sospecha razonable, una filtración o un acceso no autorizado.

Una rutina sencilla para mantener tus dispositivos protegidos

Una vez al mes, revisa las aplicaciones instaladas, las extensiones del navegador y los dispositivos que tienen acceso a tus cuentas. Comprueba también que el antivirus se actualiza, que las copias de seguridad pueden restaurarse y que el bloqueo automático del móvil y del ordenador está activo.

Para el día a día, basta con seguir una regla práctica. No escribas datos sensibles en un dispositivo que no controlas; si detectas algo extraño, desconéctalo y utiliza otro equipo confiable para proteger tus cuentas. Esa combinación de prevención, autenticación resistente y reacción rápida reduce mucho el impacto de un keylogger sin crear una falsa sensación de seguridad.