Botnet: qué es una red de equipos zombis y cómo evitar que la tuya forme parte

Un equipo de una botnet no se nota a simple vista. Sigue funcionando, quizá algo más lento, mientras a escondidas manda correos basura, ataca la web de otra empresa o mina criptomonedas para alguien. Lo inquietante es que muchos de esos equipos ni siquiera son ordenadores: según el balance de INCIBE de 2025, el 85 % de los sistemas infectados y controlados por un delincuente en una botnet eran dispositivos inteligentes, como televisores, decodificadores o reproductores multimedia. Esta guía explica qué es una botnet, cómo entra un equipo en ella y qué puede hacer el cortafuegos.

Qué es una botnet

INCIBE la define como un conjunto, normalmente grande, de dispositivos conectados a internet que han sido infectados con malware y reciben órdenes a distancia de los delincuentes. A cada uno de esos equipos se le llama bot o zombi. El glosario del NIST explica el nombre: viene de «robot» y «network» (red), y la red se forma con troyanos que toman el control de cada equipo para manejarlos todos juntos.

Cualquier cosa con conexión a internet puede caer: ordenadores, servidores, routers y aparatos del internet de las cosas (IoT). Las órdenes llegan casi siempre desde un servidor central de mando y control (C&C o C2). INCIBE recuerda que hay también botnets entre pares (P2P), sin un único servidor central, más difíciles de desmontar.

Cómo entra un equipo en una botnet

INCIBE señala tres vías principales:

• Troyanos. Sobre todo en ordenadores, móviles y tabletas: con ingeniería social, el delincuente consigue que la víctima ejecute un archivo infectado, que llega en un adjunto de correo, por mensajería o redes sociales, desde una web comprometida o desde una web de descargas no oficial. Lo explica la guía del troyano.
• Fallos sin parchear. Cualquier dispositivo puede tener vulnerabilidades que se aprovechan si no se actualiza.
• Configuraciones inseguras. Routers y, sobre todo, aparatos IoT con la configuración de fábrica y contraseñas débiles. Es la vía que explica el dato del 85 %.

La guía de seguridad de redes de la NSA lo concreta: muchas contraseñas por defecto son públicas, y son un objetivo prioritario de los escáneres automáticos de las botnets porque dan acceso con privilegios al aparato. Esto es criterio de esta web: si además el router tiene activado UPnP, un aparato de la red puede abrirse puertos hacia internet él solo, y quedar a la vista de esos escáneres sin que nadie lo haya decidido.

Para qué se usan

El fin es casi siempre ganar dinero. Estos son los usos que describe INCIBE:

Qué le pasa a la empresa

Tener un zombi en la red no es un problema solo de los demás. INCIBE enumera las consecuencias para la propia empresa:

• Los equipos van más lentos y se desgastan antes, porque hacen el trabajo del delincuente además del suyo.
• Sube la factura de la luz si se usan para minar.
• Se roban credenciales, datos de clientes, datos bancarios e información de la empresa.
• Llegan más infecciones, porque el malware de la botnet suele desactivar el antivirus para no ser descubierto.
• La empresa acaba en listas negras de correo si la botnet envía spam desde su servidor, y entonces sus correos legítimos a clientes y proveedores se marcan como basura.

Cómo saber si tu empresa forma parte de una

INCIBE tiene un servicio gratuito para esto, el Servicio Antibotnet, para conexiones dentro de España. Funciona de dos formas: comprobando desde su web si la dirección IP pública de la conexión está asociada a un incidente con botnets, y mediante los operadores que colaboran con INCIBE, que avisan por correo con un código que se consulta en el servicio. En los dos casos da información para encontrar el equipo infectado y herramientas para desinfectarlo. Las empresas pueden, además, vigilar sus direcciones IP públicas a través de una API del servicio.

Esto es criterio de esta web: como todos los equipos de la oficina salen a internet con la misma dirección pública, el aviso dice que hay un zombi, pero no cuál. Para encontrarlo, los registros del cortafuegos son la mejor pista: muestran qué equipo de la red se ha conectado a la dirección o al dominio señalado.

Qué hace el cortafuegos

Una botnet necesita hablar con su servidor de mando y control para recibir órdenes y mandar lo que roba. Cortar esa conversación desactiva al zombi aunque siga infectado, y eso se hace en el cortafuegos:

• Bloquear los servidores de mando y control. Las suscripciones FortiGuard de Fortinet incluyen, por ejemplo, la detección de dominios de botnets, una base de direcciones web maliciosas que cubre las comunicaciones de mando y control y las descargas de malware, y un servicio dinámico contra botnets y C2.
• Usar listas públicas. En el OPNsense, el sistema de prevención de intrusiones puede usar las listas de abuse.ch, que según su documentación incluyen certificados SSL asociados a malware o a botnets y los servidores de mando de ciertas familias de malware.
• Frenar lo que entra. El antivirus de pasarela y el filtrado web paran parte de las infecciones antes de que lleguen a los equipos.

Esto es criterio de esta web: para los aparatos IoT, la medida más eficaz del cortafuegos es la más sencilla. Ponerlos en su propia red, separada de los ordenadores con una VLAN y reglas que no les dejen hablar con el resto, como se explica en la guía de segmentación de red. Un televisor o una cámara no necesitan ver el servidor de la empresa, y si caen en una botnet, el daño se queda en su rincón.

Cómo evitar que tus equipos acaben en una botnet

Las recomendaciones de INCIBE son estas:

1. Mantener actualizados el sistema operativo y las herramientas de seguridad de todos los dispositivos.
2. Usar soluciones antimalware.
3. Tener cuidado con los adjuntos y los enlaces de los correos.
4. Usar siempre programas originales, descargados de su fuente legítima.
5. Revisar la configuración de seguridad de los dispositivos, sobre todo los IoT, y cambiar sus credenciales por otras robustas.
6. Recordar que los routers y cortafuegos también pueden acabar en una botnet: cambiar todas sus contraseñas por defecto, desactivar los servicios que no se usan y mantenerlos actualizados.
7. Concienciar a los empleados sobre el uso seguro de los equipos.

Si el Servicio Antibotnet o tu operador te avisan, o tienes dudas, la Línea de Ayuda en Ciberseguridad de INCIBE, el 017, es gratuita y confidencial.