El truco de Windows para identificar accesos no autorizados en tu ordenador

¿Te has sentido alguna vez inseguro sobre si alguien ha manipulado tu ordenador en tu ausencia? A mí me ocurrió, y me quedé con esa incómoda incertidumbre. Pero descubrí que Windows almacena más información de la que parece. Si sabes dónde buscar, puedes averiguar si alguien ha estado curioseando sin tu permiso. En este artículo, te mostraré el comando que utilicé y todo lo que aprendí para proteger mejor mi privacidad. Te sorprenderá la cantidad de datos que tu sistema registra y lo fácil que es acceder a ellos.

Lo que revela el Visor de eventos

En Windows, existe una herramienta bastante oculta que registra todas las actividades del sistema. Se llama Visor de eventos y, aunque parece diseñada solo para técnicos, cualquier persona puede usarla con un poco de orientación. En mi caso, fue fundamental para detectar accesos no autorizados a mi computadora.

El proceso es muy sencillo. Pulsé la tecla Windows, escribí “Visor de eventos” y lo abrí como administrador. Luego, seguí la ruta: Registros de Windows > Sistema > Filtrar registro actual > ID del evento 6005 o 6006.

• 6005 indica que el servicio de registro de eventos ha comenzado (generalmente coincide con el arranque del sistema).
• 6006 señala que el sistema se ha apagado.

Gracias a esto, pude ver qué días y a qué horas se encendió y apagó mi ordenador. En mi caso, descubrí que se encendió a las 02:14 de la madrugada en un día que estaba seguro de haberlo apagado. Alguien lo había utilizado sin mi autorización.

Para monitorear los inicios de sesión locales y remotos en sistemas Windows, es fundamental configurar la auditoría de eventos de seguridad y familiarizarse con los identificadores de eventos (Event IDs) relevantes. A continuación, se presentan los pasos para habilitar la auditoría de inicio de sesión y las mejores prácticas para la retención y envío de registros.

1. Presiona «Win + R».
2. Escribe «secpol.msc» y presiona Enter para abrir la Política de Seguridad Local.
3. Navega a Configuración de seguridad > Políticas locales > Política de auditoría.
4. Haz doble clic en «Auditar eventos de inicio de sesión» en el panel derecho.
5. Selecciona las casillas de «Éxito» y «Error» para auditar tanto los intentos de inicio de sesión exitosos como los fallidos.
6. Haz clic en «Aplicar» y luego en «Aceptar» para guardar los cambios.
7. Para aplicar la configuración, abre una ventana de comandos con privilegios elevados y ejecuta «gpupdate /force».

Otros IDs que deberías revisar incluyen:

• 4648: Intento de inicio de sesión utilizando credenciales explícitas. Común en configuraciones por lotes como tareas programadas o al usar el comando RunAs.
• 4675: Identificadores de seguridad (SIDs) filtrados. Este evento indica que se han filtrado SIDs durante un intento de inicio de sesión, lo que puede ser relevante para detectar accesos no autorizados.
• 4779: Un usuario desconectó una sesión de Terminal Server sin cerrar sesión. Este evento es útil para rastrear sesiones desconectadas que podrían representar un riesgo de seguridad si no se gestionan adecuadamente.

En la página oficial de Microsoft puedes encontrar todos estos IDs explicados y algunos adicionales para que los revises bien.

Otros comandos útiles para verificar actividad

Además del Visor de eventos, existen otros comandos simples que pueden ofrecerte pistas sobre si alguien ha utilizado tu ordenador:

• net user: Muestra las cuentas de usuario activas. Si encuentras una cuenta que no reconoces, podría ser una señal de alerta.
• whoami: Indica qué usuario está actualmente activo. No es útil si no estás presente durante el uso sospechoso, pero es valioso en equipos compartidos.
• powercfg /lastwake: Este comando revela qué causó el último encendido del sistema. Si no coincide con tus acciones, algo inusual está ocurriendo.

Estos comandos se introducen desde el Símbolo del sistema (CMD) con permisos de administrador.

Cómo proteger tu equipo a partir de ahora

Saber si alguien ha encendido tu ordenador es útil, pero lo más crucial es evitar que vuelva a suceder. Aquí te dejo algunas medidas que implementé tras esa experiencia:

• Contraseña en el arranque y bloqueo automático de pantalla: Aunque parezca básico, esta configuración se suele pasar por alto. Asegurarte de que está activa es el primer paso vital para proteger el acceso físico a tu computadora.
• Desactivar el encendido rápido: En ciertos portátiles, permite iniciar sesión casi sin controles.
• Cifrado del disco con BitLocker: Si manejas información sensible, esto añade una capa adicional de seguridad.

Desde entonces, cada vez que sospecho algo extraño, revisar el Visor de eventos me toma menos de un minuto y me aclara las dudas. Es un truco simple, gratuito y que Windows ya incluye por defecto.

Otras pistas que también puedes revisar en Windows

Además del comando para verificar el historial de inicio de sesión, hay más maneras de comprobar si alguien ha utilizado tu PC sin tu conocimiento. Por ejemplo, puedes revisar los archivos recientes abiertos desde el explorador, el historial de actividad del navegador o verificar si se ha conectado algún dispositivo USB sin tu autorización. Estos pequeños detalles pueden confirmar o descartar tus sospechas.