Un troyano se aprovecha de algo muy simple: la confianza. Se presenta como programa útil, actualización, factura o archivo compartido, y cuando el usuario lo abre empieza el problema de verdad. En este artículo explico qué es un troyano informático, cómo actúa, qué señales deja y en qué punto un antivirus marca diferencia de forma realista. También cierro con una rutina práctica para bajar el riesgo sin depender de consejos vagos.
Lo esencial para entender la amenaza y frenarla a tiempo
- Se disfraza de software legítimo para que la víctima lo ejecute por su cuenta.
- No se propaga solo: suele depender de descargas, adjuntos, enlaces o de otro malware.
- Puede robar credenciales, abrir acceso remoto o descargar más cargas una vez dentro.
- Un antivirus ayuda mucho, pero no compensa una mala descarga ni unas credenciales reutilizadas.
- Si ya hay sospecha, conviene aislar el equipo, escanearlo y cambiar contraseñas desde un dispositivo limpio.
Qué es un troyano y por qué se confunde con otros tipos de malware
Yo suelo explicarlo así: un troyano es malware que se hace pasar por algo inocente para que la víctima lo ejecute. A diferencia de un virus o un gusano, no necesita propagarse solo; depende de que alguien lo descargue, lo abra o lo instale, o de que otro malware lo deje caer en el sistema. Esa dependencia del engaño es justo lo que lo hace tan útil para el atacante y tan frustrante para quien intenta detectarlo a tiempo.
En la práctica, la categoría importa menos que el comportamiento. Un archivo puede parecer un instalador legítimo, pero en realidad abrir una puerta trasera, robar credenciales o descargar otra carga maliciosa. Por eso yo miro el vector de entrada y el efecto final, no solo el nombre técnico.
| Tipo | Cómo entra | Qué hace |
|---|---|---|
| Troyano | Se hace pasar por algo legítimo y necesita que alguien lo ejecute | Abre la puerta a otras acciones maliciosas, roba datos o instala más malware |
| Virus | Se adhiere a un archivo y se activa cuando ese archivo se ejecuta | Se replica y daña archivos o sistemas |
| Gusano | Se propaga por red aprovechando vulnerabilidades | Se copia por sí mismo y puede saturar o comprometer equipos |
| Ransomware | Suele llegar como carga posterior, a menudo facilitada por otras familias | Cifra o bloquea datos y exige un rescate |
Si comparo familias distintas, siempre vuelvo a lo mismo: lo importante no es la etiqueta, sino si el engaño ya ha permitido ejecución y persistencia. Con esa idea clara, el siguiente paso es ver por dónde entra y qué suele hacer una vez dentro.
Cómo entra y qué hace una vez dentro
Los troyanos suelen entrar por canales muy corrientes: correo con adjuntos, enlaces de phishing, instaladores falsos, cracks, extensiones de navegador manipuladas o archivos compartidos en mensajería. También aprovechan vulnerabilidades cuando el equipo está sin actualizar, y ahí ya no hace falta ni convencer al usuario: basta con encontrar una puerta abierta.
- Adjuntos y enlaces: una factura, un aviso de entrega o un mensaje urgente que empuja a abrir algo sin pensar.
- Instaladores falsos: copian el nombre y el icono de una app conocida para parecer legítimos.
- Descargadores y droppers: el primer archivo no hace todo el trabajo; solo deja caer la siguiente etapa.
- Vulnerabilidades sin parchear: si el sistema o el navegador están atrasados, el ataque puede saltarse el engaño visual.
- USB y recursos compartidos: menos frecuentes que el correo, pero siguen funcionando cuando el control interno es flojo.
Una vez ejecutado, el troyano suele instalar una puerta trasera, registrar pulsaciones de teclado con un keylogger o abrir conexión a un servidor de mando y control, que es el panel desde el que el atacante ordena acciones. En algunos casos, el equipo acaba dentro de una botnet, es decir, una red de dispositivos secuestrados que se usan para spam, fraude o nuevas infecciones.
Cuando ya sabes cómo entra y qué instala, tiene sentido separar las familias por objetivo para no meterlas todas en el mismo saco.
Los tipos que veo con más frecuencia
No todos los troyanos persiguen el mismo daño. Yo los agrupo por la tarea que intentan resolver para el atacante, porque eso ayuda a entender qué riesgo real hay detrás de la infección.
- Bancario: roba credenciales, intercepta sesiones o modifica páginas de banca online para capturar datos. Familias como Zeus marcaron este terreno durante años y siguen siendo una referencia por su enfoque financiero.
- De acceso remoto: el atacante busca control interactivo del equipo. Un RAT (Remote Access Trojan) permite observar, ejecutar comandos y moverse con mucha más comodidad dentro del sistema.
- Descargador: su misión es iniciar la cadena de infección y traer más carga. En campañas conocidas como Emotet, esta fase fue especialmente relevante porque preparaba el terreno para otras amenazas.
- Espía: se centra en capturar actividad, pulsaciones, portapapeles o historiales. No siempre llama la atención de inmediato, pero puede ser muy dañino a medio plazo.
- Puerta de entrada para ransomware: no cifra por sí mismo, pero facilita la llegada del componente que luego bloquea datos y exige rescate.
La lectura práctica es sencilla: si el objetivo es dinero rápido, robo de sesión o acceso persistente, la variante probablemente será distinta. Esa diferencia se nota después en los síntomas, y ahí es donde muchos usuarios empiezan a sospechar demasiado tarde.
Señales que me hacen sospechar de una infección
Un troyano bien montado intenta pasar desapercibido, así que rara vez empieza con un aviso dramático. Yo me fijo más bien en patrones pequeños que, juntos, ya no parecen casualidad.
- El equipo va más lento sin motivo claro, sobre todo al arrancar o al abrir el navegador.
- Aparecen ventanas, extensiones o barras nuevas que no instalaste tú.
- El antivirus se desactiva o falla al actualizarse, algo muy típico cuando el malware intenta sobrevivir.
- Se alteran páginas de inicio, buscadores o redirecciones sin que hayas tocado la configuración.
- Hay tráfico de red raro, con picos constantes aunque no estés descargando nada.
- Llegan avisos de acceso extraño a correo, redes o banca online desde ubicaciones que no reconoces.
No todos los síntomas significan infección, y yo no me lanzo a concluir nada por un único fallo. Lo serio aparece cuando dos o tres señales se repiten y, además, coinciden con una descarga reciente, una contraseña reutilizada o un archivo dudoso. En ese punto ya no conviene improvisar, porque lo más caro suele ser perder tiempo.
Qué haría yo si sospechara de un troyano
Cuando la sospecha es razonable, mi prioridad no es “probar” si el archivo era malo; es cortar la cadena. El objetivo es limitar el daño, preservar cuentas y evitar que el atacante siga usando la sesión o el equipo.
- Desconectaría el equipo de internet si el comportamiento es claramente anómalo o si aún no he analizado nada.
- No usaría banca, correo ni compras desde ese dispositivo hasta limpiar el incidente.
- Ejecutaría un análisis completo con el antivirus actualizado y, si el entorno lo permite, una segunda herramienta de escaneo para contrastar resultados.
- Revisaría procesos, extensiones y programas de inicio, porque muchos troyanos insisten en volver al arrancar.
- Cambiaría contraseñas desde otro equipo limpio y cerraría sesiones abiertas; si la cuenta lo permite, activaría o reforzaría la autenticación en dos pasos.
- Restauraría copias de seguridad solo cuando tenga la certeza de que el sistema está limpio o después de reinstalar si la infección persiste.
Yo priorizo cambiar credenciales desde un dispositivo sano porque un troyano no solo puede romper archivos; también puede quedarse con acceso a cuentas. Si la infección toca un ordenador de empresa, además, hay que avisar al equipo de IT o al proveedor de seguridad, porque ahí la velocidad importa tanto como la limpieza.
La mejor defensa, sin embargo, empieza mucho antes de la infección.
La rutina mínima que yo aplico para dejar menos margen al ataque
Si tuviera que reducir todo a una rutina corta, me quedaría con cinco hábitos que sí mueven la aguja:
- Mantén al día sistema, navegador y aplicaciones. La mayoría de troyanos no “rompen” una puerta: la encuentran ya abierta.
- Descarga solo desde fuentes fiables y desconfía de instaladores que prometen demasiado o piden permisos innecesarios.
- No uses software pirata ni cracks. Es uno de los vectores más rentables para quien distribuye malware.
- Trabaja sin privilegios de administrador en el uso diario. Menos permisos significa menos daño si algo se ejecuta sin permiso.
- Haz copias de seguridad con la regla 3-2-1: tres copias, en dos soportes distintos y una fuera de línea. Es simple, pero sigue siendo una de las barreras más eficaces cuando el ataque ya ha entrado.
En empresas, yo añadiría una suite de seguridad con protección en tiempo real, filtrado web y, si el presupuesto lo permite, capacidades de EDR, que ayudan a detectar comportamientos anómalos más allá de la firma clásica. En casa, con un antivirus bien configurado, hábitos prudentes y copias de seguridad consistentes, ya se reduce muchísimo el margen de un troyano. Si lo resumo en una sola idea: el éxito del atacante depende de que el usuario baje la guardia, así que el trabajo real consiste en quitarle esa ventaja.
