Keyloggers software: interceptan el teclado con hooks de API (SetWindowsHookEx), lectura de raw input o drivers en modo kernel, y suelen capturar también portapapeles, formularios y pantallazos. Llegan por phishing, malvertising, cracks y falsos instaladores.
¿Qué es un keylogger?
Un keylogger es un programa o dispositivo físico que registra cada pulsación de teclado de un equipo —contraseñas, mensajes, números de tarjeta— y la almacena o exfiltra para que un tercero la explote. Existen dos familias: keyloggers software, que se instalan como malware a través de phishing, software pirata o descargas comprometidas, y keyloggers hardware, pequeños adaptadores intercalados entre el teclado y el equipo. Hoy rara vez actúan solos: la captura de teclado es un módulo más de los infostealers modernos, que la combinan con el robo de credenciales guardadas en el navegador, cookies de sesión y monederos de criptomonedas.
¿Por qué importa?
Robar credenciales válidas es el primer paso de una gran parte de las intrusiones: con un usuario y contraseña reales, el atacante no necesita explotar nada, solo iniciar sesión. Un keylogger convierte cada pulsación del empleado en materia prima para ese acceso: VPN, correo corporativo, banca de empresa, ERP. La economía criminal ha industrializado el proceso: los infostealers empaquetan lo capturado en "logs" que se venden por pocos euros en mercados de Telegram y foros especializados, y quien los compra los usa para fraude al CEO, despliegue de ransomware o extorsión. La autenticación multifactor reduce mucho el daño, pero no lo elimina: los stealers también roban cookies de sesión ya autenticadas, con las que el atacante entra sin que salte ningún segundo factor. Detectarlos es difícil por diseño —se ejecutan en segundo plano, con técnicas de hooking o a nivel de kernel—, así que la defensa realista combina prevención, telemetría de EDR y un plan de respuesta que asuma que las credenciales capturadas ya están fuera.
Puntos clave
Keyloggers hardware: adaptadores USB o PS/2 intercalados en el cable, teclados modificados y sniffers de teclados inalámbricos. Son invisibles para el software de seguridad y siguen siendo relevantes en equipos compartidos, recepciones, kioscos y salas de formación.
Infostealers como evolución: familias como Lumma, RedLine o Raccoon combinan keylogging con el robo de contraseñas del navegador, cookies, tokens de sesión y datos de autocompletado. El resultado se vende como 'logs' en mercados criminales y alimenta brechas mucho mayores.
Del teclado a la brecha: unas credenciales capturadas hoy se convierten en acceso VPN mañana y en movimiento lateral la semana siguiente. Muchos incidentes graves empiezan con un solo equipo infectado por un stealer.
Detección: el antivirus de firmas llega tarde porque los stealers se reempaquetan a diario. Funciona mejor la telemetría de comportamiento del EDR (hooks, accesos a almacenes de credenciales, exfiltración), el control de dispositivos USB autorizados y el threat hunting sobre tráfico saliente.
Mitigación estructural: MFA resistente al phishing (passkeys/FIDO2), gestores de contraseñas corporativos, mínimo privilegio en los puestos y un procedimiento que rote credenciales e invalide sesiones activas en cuanto se confirma una infección.
Ejemplo: Un infostealer con keylogger en el portátil de un directivo
Un directivo busca un conversor de PDF y hace clic en un anuncio patrocinado que imita la web legítima. El instalador funciona, pero despliega también un infostealer con módulo de keylogger. Durante tres días el malware registra todo lo que teclea —incluida la contraseña del correo corporativo y la de la banca de empresa— y exfiltra además la bóveda de contraseñas del navegador y las cookies de sesión de Microsoft 365. El 'log' se vende esa misma semana; el comprador entra en el buzón usando la cookie robada, sin disparar ninguna petición de MFA, y estudia el hilo de facturas para preparar un fraude del CEO.
La detección llega cuando el EDR alerta de un proceso accediendo al almacén de credenciales del navegador. La respuesta correcta no es solo limpiar el equipo: el SOC lo aísla, se rotan todas las contraseñas tecleadas o guardadas en ese equipo, se revocan las sesiones y tokens activos de Microsoft 365, se revisan reglas de buzón creadas por el atacante y el análisis forense confirma qué se exfiltró y desde cuándo. Sin esos pasos, desinfectar el portátil deja al atacante dentro con credenciales válidas.
Errores habituales
- Confiar solo en el antivirus tradicional: los infostealers se recompilan y reempaquetan a diario para evadir firmas. Sin telemetría de comportamiento (EDR) y control de lo que se instala, la ventana de captura puede durar semanas.
- Tratar la MFA como blindaje absoluto. Un keylogger moderno roba también cookies y tokens de sesión que puentean el segundo factor, y la fatiga MFA hace el resto. Solo los factores resistentes al phishing (FIDO2/passkeys) cierran de verdad esa vía.
- Limpiar el equipo y dar el incidente por cerrado sin rotar credenciales ni invalidar sesiones. Lo capturado ya está fuera: si no se cambia y revoca todo lo tecleado y guardado en ese equipo, la reinfección es innecesaria — el atacante ya tiene la llave.
- Olvidar el vector físico: equipos compartidos, aulas, recepciones y puestos de atención al público son candidatos a un keylogger hardware de 20 euros que ningún software detecta. Inspección periódica y puertos USB controlados.
- Ignorar los equipos personales (BYOD) que acceden al correo o al ERP: un stealer en el portátil doméstico de un empleado captura credenciales corporativas igual que uno en el puesto de trabajo, pero fuera de la visibilidad del EDR.
Términos relacionados
Servicios relacionados
Este concepto puede tener relación con servicios como:
Preguntas frecuentes
¿Cómo sé si hay un keylogger instalado en mi portátil de empresa?
Las señales visibles (lentitud, procesos extraños) son poco fiables: un keylogger bien hecho no se nota. Lo que funciona es la telemetría: un EDR detecta hooks de teclado, accesos anómalos al almacén de credenciales del navegador y conexiones salientes a infraestructura de exfiltración. Si tienes sospecha concreta —por ejemplo, cuentas comprometidas sin explicación—, no te limites a pasar un antivirus: aísla el equipo y pide un análisis forense, porque la pregunta importante no es solo "¿está infectado?", sino "¿qué se ha llevado y desde cuándo?". En equipos compartidos, revisa también físicamente el cable del teclado y los puertos USB.
Usamos MFA en toda la empresa, ¿un keylogger sigue siendo un problema?
Sí. La MFA clásica (SMS, push, OTP) protege la contraseña, pero los infostealers actuales roban además cookies y tokens de sesiones ya autenticadas: el atacante importa la cookie en su navegador y entra sin que el segundo factor llegue a dispararse. Además, todo lo que tecleas sigue capturado: textos confidenciales, datos de clientes, credenciales de sistemas sin MFA. La respuesta es doble: migrar los accesos críticos a factores resistentes al phishing como passkeys, y acortar la vida de las sesiones con políticas de acceso condicional, de forma que una cookie robada caduque pronto y las sesiones puedan revocarse de golpe tras un incidente.
¿Qué hago primero si sospecho que un equipo tiene un keylogger?
Aísla el equipo de la red sin apagarlo (se conserva evidencia volátil) y trata el caso como respuesta a incidentes, no como mantenimiento. Después, asume que todo lo tecleado y guardado en ese equipo está comprometido: rota las contraseñas desde otro dispositivo limpio, revoca sesiones y tokens activos (Microsoft 365, VPN, aplicaciones SaaS) y revisa si hay reglas de reenvío de correo o inicios de sesión anómalos. Solo entonces tiene sentido reinstalar el equipo. Si no hay equipo interno para hacerlo con garantías, un SOC gestionado o un servicio de forense digital cubren exactamente ese hueco.
¿Los gestores de contraseñas protegen contra los keyloggers?
Ayudan más de lo que se suele pensar, con matices. Al autocompletar credenciales, el gestor evita que la contraseña se teclee, así que un keylogger puro no la captura; además permite contraseñas únicas por servicio, lo que limita el daño de cada robo. Pero un infostealer completo no depende del teclado: intenta volcar la bóveda del navegador y robar cookies de sesión, por lo que conviene usar un gestor corporativo con bóveda cifrada y bloqueo automático, no el almacén del navegador sin contraseña maestra. La combinación eficaz es gestor de contraseñas + passkeys donde sea posible + EDR vigilando los accesos a esos almacenes.