El truco de Windows para detectar accesos no autorizados en tu ordenador

¿Alguna vez has sentido que alguien ha tocado tu ordenador mientras no estabas? A mí me pasó, y me quedé con esa duda incómoda de no saberlo con certeza. Pero resulta que Windows guarda más información de la que parece… y si sabes dónde mirar, puedes descubrir si alguien ha estado husmeando sin tu permiso. En este artículo te voy a enseñar el comando que yo usé y todo lo que aprendí para proteger mejor mi privacidad. Te sorprenderá la cantidad de información que tu propio sistema registra y lo sencillo que es acceder a ella.

Lo que revela el Visor de eventos

En Windows hay una herramienta bastante escondida que registra todo lo que ocurre en el sistema. Se llama Visor de eventos y, aunque a simple vista parece hecha solo para técnicos, lo cierto es que cualquiera puede usarla con un poco de guía. En mi caso, fue la clave para detectar accesos no autorizados a mi equipo.

El paso a paso es sencillo. Pulsé la tecla Windows, escribí “Visor de eventos” y lo abrí como administrador. Luego seguí esta ruta: Registros de Windows > Sistema > Filtrar registro actual > ID del evento 6005 o 6006.

• 6005 indica el inicio del servicio de registro de eventos (suele coincidir con el arranque del sistema).
• 6006 indica el apagado.

Gracias a eso, pude ver qué días y a qué horas se había encendido y apagado mi ordenador. En mi caso, me encontré con un encendido a las 02:14 de la madrugada un día que juraría haberlo apagado completamente. Alguien lo había usado sin mi permiso.

Para monitorizar los inicios de sesión locales y remotos en sistemas Windows, es esencial configurar la auditoría de eventos de seguridad y comprender los identificadores de eventos (Event IDs) relevantes. A continuación, se detallan los pasos para habilitar la auditoría de inicio de sesión y las mejores prácticas para la retención y reenvío de registros.

1. Presiona «Win + R»
2. Escribe «secpol.msc» y presiona Enter para abrir la Política de Seguridad Local.
3. Navega a Configuración de seguridad > Políticas locales > Política de auditoría.
4. En el panel derecho, haga doble clic en «Auditar eventos de inicio de sesión».
5. Seleccione las casillas de «Éxito» y «Error» para auditar tanto los intentos de inicio de sesión exitosos como los fallidos.
6. Haga clic en «Aplicar» y luego en «Aceptar» para guardar los cambios.
7. Para aplicar la configuración, abra una ventana de comandos con privilegios elevados y ejecute «gpupdate /force».

Otros IDs adicionales que deberías revisar son los siguientes:

• 4648: Se intentó un inicio de sesión utilizando credenciales explícitas. Es común en configuraciones por lotes como tareas programadas o al usar el comando RunAs.
• 4675: Se filtraron identificadores de seguridad (SIDs). Este evento indica que se han filtrado SIDs durante un intento de inicio de sesión, lo que puede ser relevante para detectar intentos de acceso no autorizados.
• 4779: Un usuario desconectó una sesión de Terminal Server sin cerrar sesión. Este evento es útil para rastrear sesiones desconectadas que podrían representar un riesgo de seguridad si no se gestionan adecuadamente.

En la web oficial de Microsoft tenéis todos estos IDs perfectamente explicados, y también alguno adicional para que miréis bien todos.

Otros comandos útiles para verificar actividad

Además del Visor de eventos, hay otros comandos sencillos que pueden darte pistas sobre si alguien ha usado tu ordenador:

• net user: Muestra las cuentas de usuario activas. Si ves una cuenta que no reconoces, puede ser una señal.
• whoami: Indica qué usuario está activo en ese momento. No sirve si no estás frente al uso sospechoso, pero es útil en equipos compartidos.
• powercfg /lastwake: Este comando te dice qué causó el último encendido del sistema. Si no coincide con una acción tuya, algo raro pasa.

Estos comandos se introducen desde el Símbolo del sistema (CMD) con permisos de administrador.

Cómo proteger tu equipo a partir de ahora

Saber si alguien ha encendido tu ordenador es útil, pero lo más importante es evitar que vuelva a ocurrir. Aquí van algunas medidas que adopté después de esa experiencia:

• Contraseña en el arranque y bloqueo automático de pantalla: Aunque pueda parecer una medida fundamental, es una configuración que a menudo se pasa por alto. Asegurarse de que está activa es el primer paso esencial para proteger el acceso físico a tu equipo.
• Desactivar el encendido rápido: En algunos portátiles, permite iniciar sesión casi sin control.
• Cifrado del disco con BitLocker: Si tienes información sensible, es una capa de seguridad adicional.

Desde entonces, cada vez que sospecho algo raro, reviso el Visor de eventos en menos de un minuto y salgo de dudas. Es un truco sencillo, gratuito y que Windows ya trae de serie.

Otras pistas que también puedes revisar en Windows

Además del comando para ver el historial de inicio de sesión, hay más formas de comprobar si alguien ha usado tu PC sin que lo sepas. Por ejemplo, puedes echar un vistazo a los archivos recientes que se han abierto desde el explorador, revisar el historial de actividad del navegador o comprobar si se ha conectado algún dispositivo USB sin tu permiso. Estos pequeños detalles pueden ayudarte a confirmar tus sospechas o a descartarlas por completo.