AEGISEscritorio remoto expuesto a internet: la puerta que más aprovecha el ransomware
En resumen
- Un escritorio remoto (RDP) accesible desde internet recibe intentos de contraseña de forma automática y constante.
- Cambiar el puerto no lo esconde: los buscadores de dispositivos lo encuentran igual.
- La solución es que RDP no se vea desde fuera: VPN con doble factor o una pasarela segura delante.
El problema
Durante la pandemia muchas pymes abrieron el escritorio remoto del servidor o del ordenador de la oficina para trabajar desde casa. Era lo más rápido: abrir el puerto 3389 en el router y listo. En muchos casos, nadie lo volvió a cerrar.
Ese puerto abierto es visible para cualquiera. Existen buscadores públicos que recorren internet a diario y catalogan qué direcciones tienen escritorio remoto, bases de datos o cámaras accesibles. Los grupos de ransomware usan esas mismas listas para elegir objetivos fáciles.
A partir de ahí, el ataque es barato: probar contraseñas habituales o filtradas en otras brechas hasta que una funciona. Si el equipo además no está actualizado, ni siquiera hace falta contraseña: fallos como BlueKeep (CVE-2019-0708) permitían tomar el control de versiones antiguas de Windows sin credenciales.
Cómo saber si estás expuesto
- Pregunta a quien instaló el router o la red si hay alguna redirección de puertos hacia un equipo interno, sobre todo al 3389.
- Revisa el panel del router: busca «NAT», «redirección de puertos» o «port forwarding».
- Míralo desde fuera. Un análisis externo, como el de AEGIS, consulta bases públicas y te dice qué servicios responden desde tus direcciones de internet, sin hacer ninguna prueba intrusiva.
Cambiar el 3389 por otro puerto no es una solución. Los rastreadores reconocen el servicio por cómo responde, no por el número.
Cómo dar acceso remoto de forma segura
| Opción | Para quién | Qué consigue |
|---|---|---|
| VPN con doble factor | Casi cualquier pyme; muchos routers y cortafuegos ya la incluyen | RDP deja de verse desde internet. Solo quien está en la VPN llega al escritorio. |
| Pasarela de escritorio remoto o acceso de confianza cero | Empresas con más usuarios o proveedores externos | Un único punto de entrada con doble factor y registro de accesos. |
| Herramienta de soporte remoto con cuenta | Accesos puntuales | Sin puertos abiertos; cada sesión se autoriza. |
Si no puedes cerrarlo hoy mismo
Mientras preparas la alternativa, reduce el riesgo:
- Limita en el router qué direcciones pueden conectar (solo la IP de casa de quien lo usa).
- Activa la autenticación a nivel de red (NLA) y el bloqueo de cuenta tras varios intentos fallidos.
- Usa contraseñas largas y únicas; desactiva o renombra la cuenta «Administrador».
- Instala todas las actualizaciones de Windows pendientes.
- Comprueba que tienes copias de seguridad recientes y fuera de ese equipo.
Cómo lo puntúa AEGIS
Un escritorio remoto, un recurso compartido de archivos o un protocolo industrial visibles desde internet son, en nuestro modelo, el peor caso: impacto máximo y coste mínimo para el atacante. Con uno de ellos abierto, la nota del dominio no puede pasar de F, aunque todo lo demás esté perfecto. Cerrarlo es lo primero.