Cómo funciona
Un keylogger se sitúa entre el teclado y el sistema operativo o la aplicación. Registra cada pulsación antes de que el texto llegue a su destino, así que el registro contiene todo lo que la persona escribe: credenciales, mensajes, borradores, búsquedas.
- 1
Pulsación
El usuario pulsa una tecla y el teclado envía la señal al equipo.
- 2
Intercepción
El software captura los eventos del teclado en el sistema operativo o en una aplicación. Un dispositivo de hardware se coloca entre el teclado y el equipo o dentro del propio teclado.
- 3
Registro
Cada pulsación se guarda en un registro antes de que el texto llegue a la aplicación.
- 4
Uso del registro
La herramienta delictiva almacena el flujo o lo envía al atacante. El monitoreo corporativo guarda cada registro con la aplicación, la cuenta de usuario y la fecha y hora.
Tipos de keylogger
Los keyloggers se distinguen por el punto donde interceptan la entrada y por cómo están construidos.
| Tipo | Cómo funciona |
|---|---|
| De software | Programa que registra eventos del teclado. Término general para la mayoría de las herramientas, desde scripts simples hasta productos comerciales. |
| A nivel de kernel | Controlador profundo en el sistema, cerca del hardware del teclado. Difícil de detectar y típico de ataques sofisticados. |
| Basado en API | Usa las interfaces de teclado que el sistema ofrece a las aplicaciones. Habitual tanto en malware masivo como en agentes de monitoreo. |
| Form-grabbing | Captura el texto de un formulario web en el navegador al enviarlo, antes de que el sitio lo cifre. Habitual en el fraude bancario. |
| De hardware | Dispositivo entre el teclado y el equipo, o un teclado modificado. Requiere acceso físico y el software de seguridad no lo ve. |
Keylogger como malware
En manos de delincuentes, un keylogger es spyware. Su objetivo principal son las credenciales: contraseñas del correo corporativo, la banca, la VPN y las consolas de administración. Una contraseña robada abre todo lo que puede ver el usuario legítimo, sin disparar ninguna alarma. Por eso el keylogger es una herramienta clásica de acceso inicial, desde troyanos bancarios hasta campañas de espionaje. El registro también guarda borradores de mensajes y contenido de documentos.
El control de canales rara vez lo detecta. El texto se captura antes de cualquier envío: ningún archivo se mueve y no aparece tráfico inusual. La defensa combina varias capas:
- Autenticación multifactor, que resta valor a las contraseñas robadas
- Protección de endpoints y parches al día
- Control del software instalado
- Revisión física de los puestos en busca de keyloggers de hardware
Monitoreo de pulsaciones en la empresa
Las organizaciones aplican la misma técnica en sus propios puestos de trabajo como parte del monitoreo de actividad del usuario. El objetivo es la evidencia en el origen: qué se escribió en un documento antes de que saliera del equipo, qué se tecleó en un chat, qué consultas se lanzaron a la base de datos. La intercepción en el canal muestra que un archivo salió. El texto escrito suele mostrar cómo se preparó el incidente.
El mecanismo se parece al del malware. La finalidad, la transparencia y las garantías son distintas:
| Aspecto | Keylogger delictivo | Monitoreo corporativo |
|---|---|---|
| Finalidad | Robar contraseñas y datos | Evidencias e investigaciones de seguridad |
| Dispositivos | Cualquiera al que llegue el atacante | Equipos de la empresa |
| Transparencia | Oculto al usuario | Empleados informados de antemano |
| Acceso al registro | El atacante | Solo personal autorizado |
| Conservación | Sin límites | Plazo fijado de antemano |
| Contraseñas | Objetivo principal | Categoría aparte y controlada |
En el perfil del agente
En Anexet el keylogger es un único interruptor del perfil del agente, junto al monitoreo de la actividad del equipo y al control del portapapeles.
Legalidad en el trabajo
Que el monitoreo de pulsaciones en el trabajo sea legal depende del país y del método. La mayoría de los regímenes plantea tres preguntas: ¿la finalidad es legítima, como la seguridad y no la vigilancia general? ¿La medida es proporcionada? ¿Se informó a los empleados? La vigilancia continua y oculta de lo que se escribe se considera una intromisión grave casi en todas partes.
En la práctica, un uso defendible se basa en una política escrita, una finalidad de seguridad definida, acceso restringido a los registros y plazos de conservación fijos.
Lectura recomendada: Malware: los 7 programas más peligrosos de 2025.
| Jurisdicción | Regla clave |
|---|---|
| Unión Europea | Según el RGPD, los registros de pulsaciones son datos personales. El tratamiento exige base jurídica, limitación de la finalidad, minimización y transparencia. La vigilancia oculta suele ser desproporcionada. |
| Alemania | Los medios técnicos aptos para vigilar a los empleados requieren la codecisión del comité de empresa (Betriebsrat). Los tribunales aceptan el registro abierto de pulsaciones solo en casos muy acotados. |
| Italia | El artículo 4 del Statuto dei Lavoratori solo permite la vigilancia a distancia por necesidades organizativas, productivas, de seguridad o de protección del patrimonio, normalmente con acuerdo sindical o autorización de la inspección de trabajo. |
| Estados Unidos | Vigilar los dispositivos del empleador está ampliamente permitido. Se espera un aviso previo, y las leyes estatales de consentimiento para grabar comunicaciones pueden limitar la recogida. |
Cómo lo resuelve Anexet
Anexet registra las pulsaciones en su módulo Activity. El agente del puesto guarda el texto escrito con la aplicación, la cuenta de usuario y la fecha y hora, de modo que el registro es texto consultable en la consola y no un flujo opaco.
Anexet se despliega on-premise, así que los registros se quedan en la infraestructura de la propia organización. Esto importa: el texto escrito es un dato personal sensible, y dónde se guarda cuenta tanto como qué se recoge.
Qué se captura
pulsaciones en cualquier aplicación activa, desde clientes de correo y navegadores hasta mensajeros. El texto escrito en campos de contraseña se marca como un atributo aparte y consultable.
Búsqueda y correlación
los registros se pueden buscar por texto, aplicación e intervalo de tiempo y revisar junto con las comunicaciones interceptadas y las transferencias de archivos.
Rastro de auditoría
cada registro incluye usuario, aplicación y fecha y hora: quién escribió qué y dónde.
Captura de pulsaciones en Anexet
Saber más