El spyware es el software que se instala en un equipo o en un móvil para recoger información sin que su dueño lo sepa: lo que escribes, las páginas que visitas, las contraseñas que guardas en el navegador, los documentos que abres y, en algunos casos, lo que dices delante del micrófono.
No hace ruido. Esa es su definición práctica y también su peligro: un ransomware se nota el primer día; un spyware puede llevar meses trabajando en la empresa sin que nadie note nada raro.
Este artículo explica cómo entra, qué tipos existen, cómo se detecta en un ordenador y en un móvil, cómo se elimina de verdad —no solo aparentemente— y qué hay que hacer después, que es la parte que casi nunca se cuenta.
Qué es el spyware
Spyware es una categoría, no un programa concreto. Agrupa a todo el software cuyo objetivo es espiar la actividad de un dispositivo y enviar esa información a un tercero. Lo que cambia de una familia a otra es qué recoge y para qué.
La diferencia con otros tipos de malware está en el objetivo. Un ransomware quiere que le pagues, así que necesita que te enteres. Un spyware quiere durar: cuanto más tiempo pase sin ser descubierto, más datos recoge y más valen esos datos.
Por eso el spyware está diseñado para pasar desapercibido: consume pocos recursos, se camufla con nombres de procesos legítimos, arranca con el sistema y, en las variantes más elaboradas, se desactiva cuando detecta que alguien está analizando el equipo.
Cómo entra el spyware en un equipo
Casi nunca hace falta un fallo exótico. Las vías de entrada son cuatro, y las cuatro pasan por una decisión humana:
- Programas gratuitos con acompañante. El instalador de una utilidad descargada de un buscador trae marcado por defecto un «complemento» que nadie lee. Sigue siendo la vía número uno en ordenadores de empresa.
- Adjuntos y enlaces de correo. Una factura falsa, un albarán, un «documento compartido». El archivo se abre, pide habilitar contenido y a partir de ahí el equipo trabaja para otro.
- Extensiones de navegador. Convertidores de PDF, bloqueadores, gestores de descargas. Una extensión con permiso para «leer y modificar los datos de todos los sitios web» ve literalmente todo lo que haces, incluida la banca.
- Acceso físico al dispositivo. En el caso del stalkerware —el spyware que se instala para vigilar a una persona concreta— alguien con el móvil en la mano y el código de desbloqueo tarda dos minutos.
Hay una quinta vía menos frecuente y más grave: la explotación de una vulnerabilidad sin intervención del usuario. Es la técnica del spyware comercial de alto nivel, el que venden empresas especializadas a gobiernos. No es lo que le pasa a una pyme un martes cualquiera, pero conviene saber que existe.
Tipos de spyware
Bajo el mismo nombre conviven cosas muy distintas. Estas son las que aparecen en el trabajo real:
| Tipo | Qué recoge | Para qué se usa |
|---|---|---|
| Keylogger | Todo lo que se teclea, incluidas contraseñas | Robo de credenciales y de datos bancarios |
| Infostealer | Contraseñas guardadas, cookies de sesión, tokens, carteras cripto | Vender el acceso a la empresa en foros criminales |
| Adware agresivo | Historial de navegación y perfil de uso | Publicidad invasiva y reventa de datos |
| Troyano bancario | Sesiones de banca online y códigos de verificación | Transferencias fraudulentas |
| Stalkerware | Ubicación, mensajes, llamadas, micrófono y cámara | Vigilancia de una persona concreta |
| Spyware comercial avanzado | Acceso total al dispositivo | Espionaje dirigido, normalmente con fines políticos |
Para una empresa, el que más daño hace hoy es el infostealer. No busca dinero directamente: roba las contraseñas guardadas en el navegador y las cookies de sesión, con las que un atacante puede entrar en el correo o en el ERP sin necesitar la contraseña ni el segundo factor, porque la sesión ya estaba abierta. Ese acceso se vende, y quien lo compra es el que llega después con el ransomware.
Spyware, virus, troyano y adware: qué los diferencia
Los nombres se usan como sinónimos y no lo son. La distinción no es académica: cambia lo que hay que hacer cuando aparece uno u otro.
Virus es el término más antiguo y describe un programa que se replica infectando otros archivos. Hoy casi nadie ve virus clásicos, pero la palabra se quedó como sinónimo popular de «bicho».
Troyano describe la forma de entrar, no lo que hace: un programa que aparenta ser útil y esconde otra cosa dentro. Mucho spyware llega disfrazado de troyano.
Adware bombardea con publicidad y, de paso, perfila al usuario. Es el pariente ruidoso: molesta desde el primer minuto, y por eso se detecta pronto.
Spyware describe el objetivo: recoger información en silencio. Un mismo archivo puede ser troyano por la forma en la que entra y spyware por lo que hace una vez dentro.
La consecuencia práctica: con un adware basta con limpiar el equipo. Con un spyware hay que dar por comprometido todo lo que ese equipo pudiera ver, que casi siempre es bastante más que el propio equipo.
El navegador es hoy el objetivo principal
Durante años el spyware buscaba archivos en el disco. Hoy busca dentro del navegador, porque ahí está todo lo que importa: las contraseñas guardadas, las sesiones abiertas del correo, del banco, del ERP y del panel de administración de la web.
El robo de cookies de sesión es lo que ha cambiado el juego. Una cookie de sesión es el pase que el servicio entrega al navegador cuando ya has iniciado sesión y has pasado el doble factor. Quien roba esa cookie entra sin contraseña y sin segundo factor, porque para el servidor esa sesión ya estaba verificada. Es la razón por la que, después de una infección, cerrar sesiones importa tanto como cambiar contraseñas.
Las extensiones son la otra pata. Cuando una extensión pide permiso para «leer y cambiar todos tus datos en los sitios web que visitas», está pidiendo exactamente eso, y muchas lo piden sin necesitarlo. El riesgo añadido es que una extensión legítima puede cambiar de manos: alguien compra un complemento con cien mil instalaciones y publica una actualización que ya no hace lo mismo.
En una empresa, esto se resuelve por política, no por buena voluntad: extensiones permitidas por lista blanca, contraseñas fuera del navegador y en un gestor, y sesiones con caducidad razonable en los servicios críticos.
Comprobaciones concretas en un equipo con Windows
Si sospechas de un ordenador y quieres una primera aproximación antes de llamar a nadie, estas cinco comprobaciones descartan lo evidente en un cuarto de hora.
Programas de inicio y tareas programadas. En el Administrador de tareas, pestaña de inicio, y en el Programador de tareas. Busca entradas sin editor conocido o con nombres que imitan a los del sistema con una letra cambiada.
Aplicaciones instaladas por fecha. Ordena la lista de aplicaciones por fecha de instalación y mira el día en que empezaron los síntomas. Ahí suele estar el pasajero.
Extensiones del navegador. Todas, en todos los navegadores instalados, incluidos los que nadie usa. Y revisa el buscador y la página de inicio configurados.
Conexiones de red activas. Con el equipo en reposo y el navegador cerrado no debería haber apenas tráfico saliente. Si lo hay, conviene saber qué proceso lo genera.
Reglas del firewall y del proxy. Alguna familia de spyware añade su propia regla o configura un proxy local para interceptar la navegación. Una regla que nadie recuerda haber creado es una pista.
Si algo de esto aparece, el siguiente paso ya no es de bricolaje: es aislar el equipo y analizarlo en serio, porque lo que se ve suele ser la parte visible.
Portátiles fuera de la oficina y móviles personales
El trabajo híbrido cambió la superficie de ataque. Un portátil que sale de la oficina se conecta a redes que la empresa no controla, y un móvil personal con el correo del trabajo mezcla dos mundos con reglas distintas.
La forma sensata de abordarlo no es prohibir, porque las prohibiciones se saltan. Es acotar: EDR también en los portátiles que salen, cifrado de disco activado, y en los móviles personales una separación entre el perfil de trabajo y el personal, de manera que la empresa pueda borrar sus datos sin tocar las fotos de nadie.
Y una regla que ahorra disgustos: el correo de empresa se consulta desde la aplicación corporativa, con la cuenta gestionada. Configurarlo «a mano» en una aplicación cualquiera saca los datos del perímetro que la empresa puede proteger y, si ese móvil tiene spyware, lo saca directamente a la calle.
Señales de que tienes spyware
El spyware bien hecho no da síntomas. El corriente, sí, y estos son los que más se repiten en un ordenador:
- El equipo va lento sin motivo y el ventilador trabaja con el ordenador en reposo.
- Aparecen barras de herramientas, buscadores o páginas de inicio que nadie ha puesto.
- El navegador redirige solo a páginas de publicidad o de descarga.
- Salen ventanas emergentes también fuera del navegador.
- El antivirus está desactivado y no se deja volver a activar.
- Aparecen programas instalados con fechas que no cuadran con nada.
En el móvil los síntomas son otros: la batería dura mucho menos de un día para otro, el teléfono se calienta en reposo, el consumo de datos sube sin explicación, aparecen aplicaciones sin icono o con nombres genéricos, y el indicador de cámara o micrófono se enciende cuando no estás usando nada.
Un aviso importante: en la empresa, la señal más fiable no está en el equipo. Está en las cuentas. Un correo enviado desde tu buzón que tú no escribiste, un inicio de sesión desde otro país o una regla de reenvío automático que nadie ha creado suelen ser la primera prueba de que unas credenciales se fueron de paseo.
Cómo se detecta
Buscar spyware «a ojo» funciona con el más burdo. Para el resto hacen falta tres cosas.
Un EDR, no un antivirus de firmas. El antivirus clásico compara archivos con una lista de amenazas conocidas. Un EDR vigila comportamientos: un proceso que lee la base de datos de contraseñas del navegador, otro que se copia en el arranque, otro que abre una conexión rara hacia fuera. Esa es la forma de cazar lo que aún no está en ninguna lista.
Mirar el tráfico de salida. Todo spyware tiene que enviar lo que recoge. En el firewall se ve: conexiones periódicas a direcciones desconocidas, a horas en las que no hay nadie, desde equipos que no deberían hablar con el exterior.
Revisar lo que arranca con el sistema. Tareas programadas, servicios y programas de inicio. Un repaso rápido descubre la mayoría de los intrusos que no se molestan en esconderse.
Cómo se elimina, paso a paso
El orden importa. Hacerlo al revés es lo que provoca que el problema vuelva a los tres días.
1. Aislar el equipo. Desconéctalo de la red, por cable y por wifi. No lo apagues si sospechas de un incidente serio: apagarlo borra información que sirve para saber qué pasó.
2. Analizar con una herramienta que no sea la del propio equipo. Si el spyware ha desactivado el antivirus instalado, hay que analizar desde fuera: un análisis desde el arranque o desde la consola del EDR, no desde el escritorio infectado.
3. Desinstalar lo que sobra. Programas desconocidos, extensiones del navegador y perfiles de configuración que nadie recuerda haber instalado.
4. Cambiar las contraseñas desde OTRO dispositivo. Este es el paso que más gente se salta. Si cambias las contraseñas desde el equipo infectado, el keylogger apunta también las nuevas.
5. Cerrar todas las sesiones abiertas. Cambiar la contraseña no expulsa a quien ya tiene una cookie de sesión válida. Hay que forzar el cierre de sesión en todos los dispositivos desde el panel de la cuenta: en Microsoft 365 y en Google Workspace se hace en un clic.
6. Activar el doble factor en el correo, en la banca y en cualquier servicio que lo permita. Si ya estaba activo, revisa que no haya un método de verificación añadido que no reconozcas.
7. Si el equipo era crítico, formatear. Con un infostealer que llevaba semanas dentro, la limpieza nunca da garantía total. Reinstalar el sistema y restaurar los datos desde una copia limpia sí.
¿Sospechas que un equipo de tu empresa está enviando datos fuera? Hacemos una auditoría de ciberseguridad y te decimos qué hay dentro y qué ha salido.
En el móvil: qué hacer si sospechas
En Android, revisa la lista completa de aplicaciones —no solo el cajón de iconos—, el apartado de administradores del dispositivo y los permisos de accesibilidad, que es donde se esconde el stalkerware porque le permiten leer la pantalla. Desinstala lo que no reconozcas y, si el móvil llevaba tiempo comprometido, restablece de fábrica.
En iPhone, comprueba si hay perfiles de configuración instalados y si el dispositivo tiene jailbreak. Actualizar a la última versión del sistema elimina la mayoría del spyware que aprovecha vulnerabilidades. Y si hay sospecha de vigilancia dirigida, el modo de aislamiento del propio sistema reduce mucho la superficie de ataque.
En los dos casos, la regla anterior sigue valiendo: cambia las contraseñas desde otro dispositivo, no desde el móvil sospechoso.
Qué hacer después, en una empresa
Limpiar el equipo cierra el síntoma, no el incidente. En una empresa quedan tres tareas obligatorias.
Averiguar qué se llevó. Qué cuentas estaban abiertas en ese equipo, a qué carpetas tenía acceso ese usuario, qué contraseñas guardaba en el navegador. Todo eso hay que darlo por comprometido.
Revisar el correo con lupa. Reglas de reenvío automático, delegaciones de buzón y accesos desde ubicaciones extrañas. Es lo primero que crea un atacante para seguir leyendo aunque le cierres la puerta.
Valorar la obligación de notificar. Si el incidente afecta a datos personales, el Reglamento General de Protección de Datos obliga a notificar a la autoridad de control en un plazo de 72 horas desde que se tiene conocimiento, salvo que sea improbable que suponga un riesgo. Esa decisión hay que documentarla, se notifique o no.
El daño de un infostealer casi nunca se paga el día de la infección. Se paga semanas después, cuando alguien compra esas credenciales y entra por la puerta principal, sin exploits y sin ruido, usando una sesión que seguía abierta.
Un infostealer, de principio a fin
Merece la pena seguir el recorrido completo, porque explica por qué la limpieza del equipo no cierra el problema y por qué el daño llega tarde.
Día 1. Alguien busca en internet una utilidad cualquiera —un conversor de archivos, un programa para comprimir vídeo— y descarga el primer resultado. El programa funciona. También instala, en segundo plano, otra cosa.
Minuto 5. Ese acompañante copia la base de datos de contraseñas del navegador, las cookies de sesión, la lista de aplicaciones instaladas y algún documento reciente. Lo empaqueta y lo envía. Después, muchas familias se autoeliminan: ya tienen lo que querían y no necesitan quedarse.
Semana 2. Ese paquete se vende. Quien lo compra no es quien lo robó: son negocios distintos, y ese es el punto que a la gente le cuesta creer.
Semana 6. Alguien entra en el correo de la empresa con la sesión robada. Lee. Aprende cómo se aprueban las facturas, quién habla con qué proveedor y cuándo se va de vacaciones el responsable de administración. Todavía no hace nada.
Semana 8. Llega la factura de un proveedor real con el número de cuenta cambiado, o el ransomware, o los dos. Y en la empresa nadie relaciona ese día con el conversor de archivos que alguien instaló hace dos meses, porque el equipo lleva semanas funcionando perfectamente.
Por eso el análisis de un incidente empieza siempre por la misma pregunta: no «qué tenemos infectado hoy», sino «qué credenciales han podido salir de aquí en los últimos meses».
Qué pedirle a tu proveedor informático
Si tu empresa tiene contratado el mantenimiento con alguien, hay cinco cosas concretas que puedes exigir y que separan un servicio real de una factura mensual.
- Un inventario de equipos y de software instalado, actualizado. Sin saber qué hay, no se puede saber qué sobra.
- EDR gestionado, con alguien que reciba las alertas. No basta con que esté instalado: alguien tiene que mirarlas y actuar.
- Política de administrador local. Quién puede instalar programas y con qué procedimiento se pide una excepción.
- Registros conservados del firewall y del correo, con un plazo de retención acordado por escrito.
- Un procedimiento de incidente de una hoja: a quién se llama, quién aísla el equipo, quién cambia las contraseñas y quién decide si hay que notificar.
Ninguna de las cinco es cara. Las cinco juntas son la diferencia entre resolver un incidente en una mañana o descubrirlo dos meses tarde por una transferencia que no cuadra.
Cómo evitarlo
- Usuarios sin permisos de administrador. La mayoría del spyware necesita instalar algo. Sin privilegios, la instalación falla.
- Control de lo que se instala. Software solo desde fuentes aprobadas y extensiones de navegador gestionadas por política, no a criterio de cada persona.
- Gestor de contraseñas en lugar del navegador. Las contraseñas guardadas en el navegador son el primer sitio donde mira un infostealer.
- Doble factor en todo lo que se pueda, con aplicación de autenticación o llave física mejor que con SMS.
- Actualizaciones al día en sistema, navegador y aplicaciones. Es aburrido y es lo que más cierra puertas.
- EDR y firewall que registren, y alguien que mire los registros de vez en cuando.
- Formación breve y periódica. Reconocer un correo falso vale más que cualquier producto, porque el ataque casi siempre empieza ahí.
Cuánto cuesta prevenirlo y cuánto cuesta no hacerlo
La conversación sobre seguridad en una pyme suele atascarse en el precio. Conviene ponerlo en su sitio, porque las dos columnas no se parecen.
La prevención se compone de partidas pequeñas y repetitivas: la licencia de EDR por equipo, el gestor de contraseñas, el doble factor —gratuito en la mayoría de los servicios—, la renovación del firewall y unas horas al trimestre de revisión. Es un gasto ordinario, previsible, que entra en presupuesto sin sobresaltos.
El incidente se compone de partidas grandes y simultáneas: los días de parón, las horas de análisis forense, la reinstalación de equipos, la recuperación de copias, el aviso a clientes y proveedores, la posible notificación a la Agencia Española de Protección de Datos y el tiempo de dirección dedicado a apagar el fuego en lugar de a vender. A eso se suma lo que no se factura pero se paga: la confianza del cliente que se enteró de que sus datos estuvieron en manos ajenas.
No hace falta un estudio para ver cuál de las dos columnas pesa más. Hace falta decidir antes, que es justo lo contrario de lo que ocurre casi siempre.
Spyware y protección de datos
Hay una vertiente legal que conviene tener clara, porque afecta a las dos direcciones. Instalar spyware en el dispositivo de otra persona sin su consentimiento es un delito, incluso dentro de una familia o de una pareja. Y en el ámbito laboral, cualquier herramienta de control sobre los equipos de la empresa tiene que estar informada por escrito, ser proporcionada y limitarse a fines legítimos.
Conviene además distinguir dos figuras que se confunden: el control legítimo del puesto de trabajo —inventario, actualizaciones, antivirus, registro de accesos— y la vigilancia del comportamiento de la persona. Lo primero es administrar los medios de la empresa. Lo segundo requiere una justificación, un límite y una información previa; y grabar la pantalla, el teclado o la cámara de alguien sin decírselo no entra en ninguna de las dos categorías. La frontera es la transparencia. Un sistema de monitorización que la plantilla conoce y que registra lo necesario para la seguridad es una herramienta de gestión. El mismo sistema instalado a escondidas es vigilancia ilegal, con consecuencias para la empresa que lo puso.
Preguntas frecuentes sobre spyware
Con un EDR que vigile comportamientos —no solo firmas—, revisando las conexiones de salida en el firewall y comprobando qué programas y tareas arrancan con el sistema. En una empresa, la primera señal suele venir de las cuentas: accesos desde ubicaciones extrañas o reglas de reenvío que nadie ha creado.
Un keylogger que apunta todo lo que se teclea; un infostealer que copia las contraseñas guardadas en el navegador y las cookies de sesión; un troyano bancario que se cuela en la sesión de banca online; o el llamado stalkerware, que se instala en un móvil ajeno para ver ubicación y mensajes.
En Android, revisa la lista completa de aplicaciones, los administradores del dispositivo y los permisos de accesibilidad, y desinstala lo que no reconozcas. En iPhone, comprueba los perfiles de configuración y actualiza el sistema. Si llevaba tiempo comprometido, restablece de fábrica y cambia las contraseñas desde otro dispositivo.
No. Un antivirus de firmas detecta lo ya catalogado. Las variantes nuevas o hechas a medida pasan sin problema, y por eso hace falta una herramienta que vigile el comportamiento del equipo además de los archivos.
No. Hay que cambiarla desde un dispositivo limpio y, además, cerrar todas las sesiones abiertas en la cuenta. Un atacante con la cookie de sesión robada sigue dentro aunque la contraseña ya no sea válida.
No. Instalar software de vigilancia en el dispositivo de otra persona sin su consentimiento es delito, también dentro de una familia o una pareja. En la empresa, cualquier herramienta de control debe estar informada por escrito, ser proporcionada y responder a un fin legítimo.
¿Sabrías decir si hoy hay algo enviando datos fuera de tu empresa?
Revisa tu seguridad con nosotros Sin compromiso · Respuesta en menos de 24 h
