Qué es un keylogger, cómo roba tus contraseñas y cómo protegerte

Un keylogger (registrador de teclas) es un programa o un pequeño dispositivo que captura en secreto todo lo que escribes: contraseñas, mensajes, números de tarjeta. La CONDUSEF lo menciona junto a los gusanos, los troyanos y los rootkits entre los programas maliciosos más conocidos, que buscan robar tu información. Hoy rara vez viaja solo: suele ser una función más de un troyano o de un spyware. Es lo que describieron la CONDUSEF y la Asociación de Bancos de México en su alerta de septiembre de 2026 sobre malware en celulares, que busca capturar claves e interceptar códigos de verificación.

Cómo llega

• Con un archivo o una descarga: adjuntos de correo no deseado (también en Word, Excel o PDF) y música, videos o programas "gratis" de sitios no oficiales, advierte la Guardia Nacional.
• Con una app falsa: las que imitan a las de los bancos piden tus contraseñas al instalarse, según la CONDUSEF.
• Con una herramienta de control remoto que un desconocido te pidió instalar.
• En una computadora pública o compartida, donde alguien pudo instalarlo antes que tú.
• Como dispositivo físico conectado entre el teclado y la computadora: para usarlo, alguien necesita acceso a tu equipo.

La Guardia Nacional recomienda mantener tus dispositivos con las últimas actualizaciones de seguridad y el antivirus al día justamente para protegerte del malware que pudiera estar captando información en tu equipo y enviándola al servidor de un ciberdelincuente.

Cómo detectarlo

A simple vista, casi nunca. Fíjate en tus cuentas: accesos que no reconoces, contraseñas cambiadas, mensajes enviados a tu nombre o movimientos raros en tu banco. En una computadora con Windows, abre Seguridad de Windows > Protección contra virus y amenazas > Opciones de examen y haz un Examen completo. Si sospechas que algo se esconde, elige Antivirus de Microsoft Defender (examen sin conexión): analiza el equipo después de un reinicio, sin cargar Windows, lo que le dificulta ocultarse al malware persistente; los resultados quedan en Historial de protección. En Android, confirma que Play Protect esté activo. Y si otras personas usan tu computadora, revisa también que no haya nada extraño conectado entre el teclado y el equipo.

Si sospechas que tienes uno

1. Deja de usar ese equipo para tu banca y tus cuentas importantes, y desconéctalo de internet.
2. Analízalo con un antivirus actualizado y elimina lo que encuentre.
3. Desde otro dispositivo seguro, cambia tus contraseñas, empezando por tu correo y tu banco, y las de cualquier cuenta donde repetías la misma, como piden la CONDUSEF y la ABM.
4. Activa la verificación en dos pasos en esas cuentas.
5. Si escribiste en ese equipo los datos de tu tarjeta o de tu banca en línea, llama a tu banco por sus canales oficiales.
6. Si el problema sigue, respalda tus archivos y reinstala el sistema, o pide ayuda a un técnico de confianza.

En computadoras públicas o ajenas

• La CONDUSEF recomienda no entrar a tu banca digital desde dispositivos o computadoras que no sean tuyos, y no usar redes ni computadoras públicas para comprar en línea.
• Si no te queda otra, usa la navegación privada y cierra tus sesiones al terminar, como recomienda la guía de ciberseguridad de la SCT.
• No aceptes la opción de "recordar contraseña" en un navegador que no es tuyo, aconseja la CONDUSEF.
• En tu propia computadora, bloquea la sesión cada vez que te alejes y desactiva la ejecución automática de las memorias USB, sugiere la SCT.

Lo que vuelve inútil a un keylogger

El keylogger roba lo que tecleas. Con la verificación en dos pasos, tu contraseña sola ya no abre la cuenta: falta un código o una confirmación en tu celular que el keylogger de tu computadora no tiene. Las llaves de acceso van más allá: no hay contraseña que escribir, porque entras con tu huella, tu rostro o el bloqueo de pantalla, y no se pueden compartir, copiar ni escribir, explica Google. En tu banco, verifica siempre el monto, el beneficiario y la cuenta destino antes de autorizar una operación, como piden la CONDUSEF y la ABM.

Por último, usa una contraseña distinta en cada cuenta: la CONDUSEF pide no repetir la de tu banco en otros servicios en línea. Así, si roban una, no abren las demás. Un gestor de contraseñas te ayuda a manejarlas sin tener que escribirlas a mano cada vez.

Un keylogger no se ve, pero se puede volver inútil: una contraseña distinta en cada cuenta y un segundo paso que no puede copiar.