Bundling: la vía de entrada dominante. Portales de descargas y falsos instaladores envuelven el programa deseado en un 'wrapper' que encadena ofertas premarcadas; cada casilla que el usuario no desmarca es una instalación pagada al distribuidor. El modelo de negocio se llama pay-per-install (PPI).
¿Qué es el adware?
El adware es software que muestra publicidad no deseada —ventanas emergentes, banners, anuncios inyectados en el navegador— y que habitualmente recopila datos de navegación para monetizarlos. Llega casi siempre "empaquetado" (bundling) en instaladores de programas gratuitos y vive en la frontera entre el PUP/PUA (programa potencialmente no deseado, con un consentimiento enterrado en la letra pequeña) y el malware puro. En un entorno corporativo no es una simple molestia: es telemetría de tus empleados saliendo hacia terceros y, con frecuencia, la puerta por la que acaba entrando algo peor.
¿Por qué importa?
Por tres razones que suelen subestimarse. La primera es la privacidad: el adware perfila la navegación de los usuarios —búsquedas, webs visitadas, a veces formularios— y vende esos datos a intermediarios; en equipos de empresa eso significa información de clientes, proveedores y proyectos fluyendo hacia data brokers sin ningún contrato que lo ampare, un problema directo de RGPD y de confidencialidad. La segunda es la línea difusa con el malware: los mismos esquemas de pago por instalación (pay-per-install) que distribuyen adware distribuyen también loaders, spyware e infostealers; familias como Fireball o los bundlers agresivos de barras de navegador han demostrado que el operador que hoy inyecta anuncios mañana instala lo que le paguen. Y la tercera es lo que revela: un parque con adware es un parque donde los usuarios instalan software sin control, con permisos de administrador local y sin allowlisting — exactamente las condiciones que un atacante serio necesita. Tratarlo como incidente menor es desaprovechar la señal de alerta más barata que existe sobre la postura de seguridad real de los puestos de trabajo.
Puntos clave
Frontera PUP/PUA vs malware: el adware "legal" exhibe un consentimiento formal en la letra pequeña; cruza la línea cuando persiste contra la desinstalación, se inyecta en otros procesos o cifra su tráfico para ocultar qué exfiltra. Los antivirus lo clasifican como PUA y muchos NO lo bloquean por defecto: hay que activarlo.
Browser hijackers y extensiones: la variante más común hoy. Cambian el buscador y la página de inicio, inyectan resultados y anuncios, y leen el historial. Hay extensiones legítimas con miles de usuarios que fueron compradas y convertidas en adware mediante una simple actualización automática.
Riesgo de privacidad y cumplimiento: datos de navegación de empleados vendidos a terceros son un incidente de confidencialidad, no una molestia. Si los equipos tratan datos personales o información de clientes, la exfiltración vía adware entra de lleno en territorio RGPD.
Puerta a malware mayor: las redes PPI no distinguen cargas. Campañas de adware han servido para desplegar loaders que después instalan infostealers o preparan ransomware. Un endpoint que acumula adware es un endpoint que ejecuta código de desconocidos con regularidad.
Limpieza y prevención: retirar programas y extensiones no reconocidos, restablecer el navegador y revisar proxy y DNS locales; y para que no vuelva, allowlisting de aplicaciones (AppLocker/WDAC), usuarios sin administrador local, catálogo de software aprobado y detección PUA activada en el antivirus/EDR.
Ejemplo: Del freeware con sorpresa al infostealer en una pyme
En una pyme sin políticas de instalación, un administrativo descarga un compresor de archivos desde un portal de descargas. El instalador añade dos "ofertas" premarcadas: una barra de navegador y un supuesto optimizador del sistema. En semanas, el navegador tiene otro buscador por defecto, los resultados llevan anuncios inyectados y el equipo va notablemente más lento. Nadie lo reporta porque "solo es publicidad". El optimizador, mientras tanto, descarga actualizaciones de un servidor que también distribuye cargas de una red pay-per-install; una de ellas es un loader que instala un infostealer, y las credenciales del correo corporativo acaban a la venta.
La respuesta seria tiene dos planos. El inmediato: inventariar y limpiar los equipos afectados (programas, extensiones, tareas programadas, proxy y DNS), restablecer navegadores y rotar las credenciales guardadas en ellos. El estructural: retirar el administrador local a los usuarios, publicar un catálogo de software aprobado con su repositorio interno, aplicar allowlisting con AppLocker o WDAC como parte del bastionado de puestos, y activar la detección de PUA en el EDR para que la próxima "oferta" no llegue a ejecutarse. El adware desaparece como categoría cuando instalar software deja de ser una decisión individual de cada empleado.
Errores habituales
- Tratarlo como una molestia cosmética y no como un incidente: si hay adware, hay un canal de ejecución de código sin control en ese equipo y datos de navegación saliendo hacia terceros. Merece ticket, análisis y causa raíz, no solo un 'ya te lo limpio'.
- Dejar a los usuarios con administrador local y sin catálogo de software: mientras cualquiera pueda instalar cualquier cosa, la limpieza es temporal. El adware volverá con la siguiente descarga 'gratuita'.
- Instalar con 'Siguiente-Siguiente-Finalizar': las ofertas del bundling vienen premarcadas y confían en la prisa del usuario. Formar a la plantilla para usar instalación personalizada y descargar solo de la fuente oficial elimina la mayor parte del problema.
- Ignorar las extensiones del navegador: es el punto ciego habitual. Revisarlas periódicamente, gestionarlas por política (forzar lista de extensiones permitidas desde la consola de administración del navegador) y desconfiar de extensiones que cambian de dueño.
- No activar la detección de PUA/PUP en el antivirus o EDR: muchos productos la traen desactivada o en modo 'solo auditoría' por defecto para evitar falsos positivos, así que el adware pasa limpio. Es una casilla de configuración, no una inversión.
Servicios relacionados
Este concepto puede tener relación con servicios como:
Preguntas frecuentes
¿El adware es ilegal o solo molesto? ¿Debo tratarlo como un incidente de seguridad?
Depende de dónde caiga en la escala. El adware "comercial" se ampara en un consentimiento formal (la casilla premarcada que nadie lee) y rara vez es perseguible; el que se resiste a la desinstalación, inyecta tráfico o exfiltra datos sin consentimiento ya es malware a todos los efectos. En la empresa la distinción legal importa menos que la operativa: en ambos casos hay código no autorizado ejecutándose y datos de navegación saliendo hacia terceros, así que sí, trátalo como incidente — con inventario de lo instalado, análisis de qué datos ha podido recopilar y una causa raíz que explique cómo llegó, porque por esa misma vía puede entrar algo mucho peor.
¿Cómo evito que mis empleados instalen adware si no tengo equipo de TI?
Con tres medidas que no requieren un departamento: primero, quitar los permisos de administrador local — sin ellos, la mayoría de bundlers no puede instalarse; segundo, acordar una lista corta de software aprobado y la regla de descargar siempre desde la web oficial del fabricante, nunca desde portales de descargas; y tercero, activar la protección contra aplicaciones potencialmente no deseadas que Windows (SmartScreen/Defender) y los navegadores traen incluida pero a veces desactivada. Una sesión breve de concienciación sobre instaladores con casillas premarcadas completa el cuadro. Si prefieres delegarlo, un servicio de ciberseguridad para pymes puede dejar estas políticas configuradas y vigiladas.
¿Cómo limpio un equipo lleno de adware sin reinstalar Windows?
Con método, porque el adware moderno se ancla en varios sitios a la vez. El orden práctico: desinstalar los programas no reconocidos desde el panel de aplicaciones; revisar y eliminar extensiones del navegador, restablecer buscador y página de inicio; comprobar tareas programadas, elementos de inicio y la configuración de proxy y DNS (los hijackers la modifican para seguir inyectando anuncios); y pasar después un análisis con la detección de PUA activada. Rota también las contraseñas guardadas en ese navegador, por si acaso. Si tras esto el comportamiento persiste, o el equipo maneja información sensible, la reinstalación limpia es más barata que la duda — y valorar un análisis con EDR antes de restaurar nada.
¿Por qué mi antivirus no bloquea el adware?
Porque técnicamente muchos adware no son clasificados como malware, sino como PUA/PUP (aplicaciones potencialmente no deseadas): traen un consentimiento formal y firma digital, y los fabricantes de antivirus han recibido demandas por bloquearlos como maliciosos. La consecuencia es que la mayoría de productos separa esa categoría y la deja desactivada o en modo aviso por defecto. La solución es activarla explícitamente: en Microsoft Defender se llama "protección contra aplicaciones potencialmente no deseadas", y en la mayoría de EDR corporativos existe la política equivalente. Combinado con allowlisting de aplicaciones, el adware simplemente deja de ejecutar — no hay que perseguirlo equipo a equipo.