Cómo saber si tu PC fue hackeada: 8 señales de alerta

El ratón se movió solo. El antivirus apareció desactivado y estás seguro de que no lo tocaste. O llegó una alerta de inicio de sesión de Gmail desde un dispositivo que no es tuyo. Estas señales suelen descartarse como un "cuelgue" o un "virus genérico", pero pueden indicar algo más serio: acceso no autorizado activo en tu equipo. Esta guía cubre los 8 indicadores concretos de compromiso y los pasos reales para cada escenario.

Por qué detectarlo a tiempo marca la diferencia

La mayoría de los ataques no comienzan con un ransomware bloqueándolo todo de inmediato. El patrón más común es el dwell time: el atacante permanece dentro del equipo durante semanas (a veces meses) recopilando credenciales, monitoreando la actividad y estableciendo persistencia antes de actuar de forma visible. Detectar señales tempranas significa que aún tienes margen para actuar antes del daño principal.

Las 8 señales que indican una intrusión

1. El cursor se mueve o hace clic sin que tú lo toques

Si el puntero del ratón se mueve solo o las ventanas se abren y cierran sin tu intervención, es la señal más clara de acceso remoto activo. Tanto herramientas legítimas de acceso remoto (TeamViewer, AnyDesk) como RATs maliciosos (Remote Access Trojans) toman el control total del teclado y el ratón. Primero descarta: verifica si hay algún periférico Bluetooth no reconocido emparejado. Si no es eso, considera el equipo comprometido.

2. Cámara o micrófono activos sin motivo

¿Se encendió la luz indicadora de la webcam cuando no estabas en una llamada? En Windows 11, ve a Configuración → Privacidad y seguridad → Cámara para ver qué apps accedieron al dispositivo recientemente. Si aparece un proceso desconocido en la lista, es una señal de alarma. Un keylogger o RAT instalado suele activar la cámara y el micrófono sin consentimiento.

3. Procesos desconocidos consumiendo CPU o disco

Abre el Administrador de tareas (Ctrl + Shift + Esc) y ordena por CPU o disco. Un proceso con nombre genérico como svchost.exe consumiendo constantemente el 40% del procesador es sospechoso: el svchost legítimo rara vez se comporta así en condiciones normales. Busca el nombre exacto del proceso antes de terminarlo. Los cryptojackers y RATs suelen disfrazarse con nombres parecidos a los procesos del sistema.

4. Una nueva cuenta de administrador que tú no creaste

Revisar las cuentas de usuario debe ser parte de cualquier investigación de intrusión. Abre la terminal como administrador y ejecuta:

Get-LocalUser | Select-Object Name, Enabled, LastLogon

Si aparece una cuenta que no creaste, especialmente con privilegios de administrador, es probable que el atacante haya establecido una puerta trasera para mantener el acceso aunque cambies tu contraseña principal.

5. Antivirus desactivado o configuraciones de seguridad modificadas

El malware sofisticado frecuentemente empieza desactivando la protección del sistema antes de actuar. Si Windows Defender o tu antivirus de pago está deshabilitado sin que tú lo hayas hecho, o si el firewall fue apagado, el sistema puede estar ya comprometido. Verifica en Seguridad de Windows → Protección contra virus y amenazas. El ransomware y los troyanos bancarios son conocidos por esta táctica antes de cifrar archivos o robar sesiones.

6. Conexiones de red activas que no reconoces

Una de las formas más fiables de detectar comunicación con un servidor de comando y control (C2) es verificar las conexiones establecidas. En PowerShell:

Get-NetTCPConnection -State Established | Select-Object LocalAddress, LocalPort, RemoteAddress, RemotePort, OwningProcess

Puertos como 4444, 5555 y 1337 están asociados a herramientas de ataque (Metasploit, Cobalt Strike). Las conexiones ESTABLISHED hacia IPs de países que no tienen sentido para tu uso habitual también merecen investigación. El artículo sobre Get-NetTCPConnection en Windows explica cómo leer la salida en detalle.

7. Las contraseñas de cuentas online dejaron de funcionar

¿Tu contraseña de Gmail, Instagram o banca online simplemente dejó de funcionar de repente? El escenario más probable es que alguien obtuvo acceso, cambió la contraseña y te dejó fuera. Verifica que tienes una dirección de recuperación alternativa activa y que los códigos de respaldo están guardados en un lugar seguro. Si sospechas que el móvil también está en juego, los indicadores son diferentes pero igualmente detectables: revisa la guía de spyware en Android.

8. Comportamiento anómalo en el navegador

Extensiones que no instalaste, página de inicio diferente, redirecciones a sitios extraños al buscar: estos son síntomas clásicos de un browser hijacker. Este tipo de malware es menos grave que un RAT completo, pero abre la puerta a ataques mayores: roba cookies de sesión, redirige a páginas de phishing y puede capturar credenciales escritas. Revisa las extensiones en chrome://extensions o edge://extensions y elimina todo lo que no reconozcas.

Qué hacer si identificaste la intrusión

1. Desconéctate de la red de inmediato — Wi-Fi y cable. Esto corta la comunicación activa con los servidores de ataque.
2. No apagues todavía — mucha evidencia forense solo existe en la RAM. Si es posible, documenta qué está ejecutándose antes.
3. Cambia las contraseñas desde un dispositivo limpio — móvil con datos o el equipo de otra persona. Nunca cambies contraseñas desde un dispositivo que pueda estar comprometido.
4. Ejecuta un análisis sin conexión — Windows Defender tiene un modo de verificación sin conexión (reinicia el sistema fuera del entorno comprometido). Bitdefender y Kaspersky ofrecen ISOs de arranque gratuitas.
5. Reinstala el sistema operativo si tienes cualquier duda sobre una limpieza completa. Las puertas traseras persisten en el registro, la BIOS y los controladores: formatear con instalación limpia es el único método 100% fiable.

Cómo prevenir: checklist mínimo

Si tu PC sigue limpia, el endurecimiento básico reduce mucho la superficie de ataque. El artículo Windows 11 más seguro: 10 configuraciones cubre los ajustes esenciales. Lo que no puede faltar:

• Mantén Windows Update activo: la mayoría de los ataques explotan vulnerabilidades que ya tienen parche disponible.
• Descarga software solo desde el sitio oficial del fabricante o la Microsoft Store.
• Activa la autenticación de dos factores en todas las cuentas, especialmente email y banca.
• Revisa las extensiones del navegador cada 30 días.
• Desactiva RDP si no lo usas: es el principal vector de ransomware corporativo.

Recuerda que los atacantes suelen comprometer varios dispositivos a la vez. Si el PC está limpio pero el teléfono no, el problema sigue ahí: consulta la guía de spyware en Android para saber qué buscar en el móvil.