Un troyano es un programa malicioso que se disfraza de software legítimo para colarse en tu dispositivo y, una vez dentro, hacer de las suyas. Los tipos de troyanos van desde el troyano bancario que vacía tu cuenta mientras crees que estás en la web de tu banco, hasta el RAT troyano o troyano de acceso remoto que convierte tu ordenador en una marioneta controlada desde otro continente. El nombre viene del caballo de Troya: regalo bonito por fuera, soldados griegos por dentro. Spoiler: tres mil años después seguimos cayendo. Aquí te explicamos qué familias existen, cómo se cuelan y qué hacer para no acabar siendo el protagonista de tu propia tragedia griega digital.
Qué es exactamente un troyano (y por qué no es un virus)
Mucha gente llama "virus" a cualquier bicho informático. Error de novato. Un virus se replica solo, un gusano se propaga por la red sin tu ayuda, y un troyano necesita que tú lo invites a pasar.
La diferencia importa. El troyano no se reproduce: te engaña. Te llega como un crack de un juego, una factura en PDF, una actualización falsa de Flash o un instalador de una app que "es gratis". Tú haces doble clic. Bienvenido el caballo.
Si quieres entender la diferencia con un malware que sí se autopropaga, échale un ojo a nuestro artículo sobre cómo los gusanos informáticos se propagan sin que hagas nada. Ahí está el contraste perfecto.
Los tipos de troyanos que más circulan
No todos los troyanos quieren lo mismo. Algunos van a por tu dinero, otros a por tu información y otros simplemente a por el control total. Estos son los que más vemos en los buzones que filtramos cada día.
| Tipo de troyano | Qué hace | Objetivo principal |
|---|---|---|
| Troyano bancario | Roba credenciales financieras mediante inyección web y overlays falsos | Tu dinero |
| RAT (acceso remoto) | Da control total del equipo al atacante | Control completo |
| Troyano descargador (downloader) | Instala más malware una vez dentro | Ampliar la infección |
| Troyano espía (infostealer) | Captura contraseñas, cookies y datos del navegador | Tus credenciales |
| Troyano DDoS | Suma tu equipo a una botnet para ataques masivos | Tu ancho de banda |
| Ransomware (vía troyano) | Cifra tus archivos y pide rescate | Extorsión |
El troyano bancario: el ladrón de guante blanco
Esta familia es la más rentable para los delincuentes. Un troyano bancario espera pacientemente a que entres en la web de tu banco. Entonces actúa.
Usa una técnica llamada web injection: superpone campos falsos sobre la página real del banco. Tú ves la web auténtica, con su candado HTTPS y todo, pero los datos que tecleas van directos al atacante. Algunos incluso interceptan los SMS del doble factor.
Nombres que han hecho historia: Zeus (cuyo código fuente se filtró en 2011 y engendró decenas de variantes), Emotet, TrickBot y, en móviles Android, Anubis y Cerberus. Europol desmanteló la infraestructura de Emotet en enero de 2021 en una operación coordinada entre varios países, pero las variantes reaparecen como las setas tras la lluvia.
El RAT troyano: cuando alguien más maneja tu ratón
El RAT troyano (Remote Access Trojan) es el más inquietante. Concede al atacante acceso remoto completo: puede ver tu pantalla, encender tu webcam, leer tus archivos, registrar tus pulsaciones de teclado y usar tu equipo como base para otros ataques.
Familias conocidas como DarkComet, njRAT o Remcos llevan años circulando. Lo peor del troyano de acceso remoto es su sigilo: puedes estar infectado durante meses sin notar nada raro, más allá de un ventilador que se dispara o una webcam con la lucecita encendida sin motivo.
Le dedicamos un análisis completo a esta amenaza en cómo los RAT toman control de tu ordenador. Lectura recomendada si tapas la webcam con celo (y deberías).
Cómo se propagan los troyanos
El troyano siempre necesita un empujón humano. Estas son las vías de entrada más habituales:
- Email de phishing: el clásico. Un adjunto malicioso (.docm, .iso, .zip con ejecutable dentro) o un enlace trampa. Aquí es donde un buen filtro antispam te salva la vida.
- Software pirata y cracks: ese keygen que descargaste viene con regalo sorpresa.
- Actualizaciones falsas: "Tu Chrome está desactualizado, haz clic aquí". No, no lo está.
- Anuncios maliciosos (malvertising): publicidad envenenada en webs legítimas.
- Apps fuera de las tiendas oficiales: los APK de fuentes dudosas en Android son un campo de minas.
El vector número uno sigue siendo el correo electrónico. Por eso conviene aprender a verificar si un enlace es seguro antes de hacer clic: la mayoría de infecciones se evitan con dos segundos de desconfianza sana.
Señales de que tienes un troyano dentro
El malware moderno es discreto, pero deja pistas. Sospecha si notas alguna de estas:
- El equipo va lento sin razón aparente, incluso recién encendido.
- Aparecen programas que no instalaste.
- El ratón se mueve solo o se abren ventanas fantasma.
- Tu antivirus se ha desactivado sin tu permiso.
- Consumo de datos disparado o el ventilador a tope estando "inactivo".
- Amigos que reciben mensajes raros tuyos que no enviaste.
Si has tecleado credenciales en algún sitio sospechoso, comprueba en Have I Been Pwned si tu correo aparece en filtraciones conocidas. Y cambia contraseñas desde un dispositivo distinto y limpio.
Herramientas para protegerte de los troyanos
La defensa contra los tipos de troyanos se construye por capas. Ninguna herramienta sola es infalible.
- Antivirus actualizado: Windows Defender hace un trabajo decente de serie. Malwarebytes es excelente como segunda opinión.
- VirusTotal: sube cualquier archivo sospechoso antes de abrirlo y lo analiza con más de 70 motores antivirus a la vez. Gratis.
- Doble factor (2FA): aunque un troyano bancario robe tu contraseña, el segundo factor le complica la vida. Mejor con app autenticadora que con SMS.
- Gestor de contraseñas: evita reutilizar claves. Revisa la fortaleza de las tuyas con nuestro verificador de seguridad de contraseñas.
- DNS seguro: configurar DNS over HTTPS bloquea muchos dominios maliciosos antes de que carguen.
- Backups: copia de seguridad regular y desconectada. Tu seguro de vida contra el ransomware.
Y, evidentemente, un filtro de correo que pare la mayoría de adjuntos envenenados antes de que lleguen a tu bandeja. Para eso estamos algunos. Si gestionas la seguridad de un proyecto digital o necesitas montar infraestructura web sólida, el equipo de inteligencia artificial para empresas de Piqture trabaja precisamente en automatizar estas defensas.
Qué hacer si te has infectado
Que no cunda el pánico, pero actúa rápido:
- Desconecta de internet: corta el cable o apaga el wifi para cerrarle la puerta al atacante remoto.
- No apagues a lo bruto si sospechas ransomware en proceso de cifrado; aísla primero.
- Analiza en modo seguro con un antivirus actualizado.
- Cambia contraseñas desde otro dispositivo limpio, empezando por banca y correo.
- Avisa a tu banco si manejaste datos financieros.
- Si la cosa es seria, formatea. Es drástico, pero es la única forma de estar seguro al 100%.
- Denuncia ante el Grupo de Delitos Telemáticos de la Guardia Civil o la Policía Nacional. En España, el INCIBE (017) ofrece ayuda gratuita en ciberseguridad.
Los troyanos suelen ser la puerta de entrada de otros ataques. Una vez dentro, un atacante puede usar técnicas como XSS para ejecutar código en tu navegador o robar sesiones activas. Todo está conectado en el ecosistema del cibercrimen.
Preguntas frecuentes
¿Un troyano es lo mismo que un virus?
No. Un virus se replica solo dentro de otros archivos, mientras que un troyano se disfraza de programa legítimo y necesita que tú lo instales. El troyano engaña, el virus se copia.
¿Cómo sé si tengo un troyano bancario en el móvil?
Vigila si tu app bancaria pide permisos extraños, si aparecen pantallas de login superpuestas o si el teléfono va lento tras instalar una app de fuera de la tienda oficial. Analízalo con un antivirus móvil y revisa los permisos de accesibilidad concedidos.
¿Pueden activar mi webcam con un RAT troyano?
Sí. Un troyano de acceso remoto permite encender la cámara y el micrófono sin tu conocimiento. Por eso muchos profesionales tapan la webcam y revisan periódicamente qué apps tienen permiso de cámara.
¿El antivirus gratuito protege contra los troyanos?
En buena medida, sí. Windows Defender y soluciones gratuitas como Malwarebytes detectan la mayoría de troyanos conocidos. El eslabón débil casi siempre es el usuario que ignora las advertencias, no el software.
¿Qué hago si he metido mis datos bancarios en una web falsa?
Llama a tu banco de inmediato para bloquear tarjetas y movimientos, cambia las contraseñas desde un dispositivo limpio y activa el doble factor. Luego denuncia ante la policía y comprueba si tus datos aparecen filtrados en Have I Been Pwned.
El siguiente paso
Coge ahora mismo el último archivo sospechoso que recibas por correo y, antes de abrirlo, súbelo a VirusTotal. Dos minutos de análisis pueden ahorrarte semanas de pesadilla. Y si te ha picado el gusanillo de la ciberseguridad, date una vuelta por el resto de artículos del blog: tenemos material para que ningún caballo de Troya vuelva a colarse en tu muralla.
