¿Tu ordenador con Windows está expuesto? guía de protección contra acceso remoto a tu Windows 

El acceso remoto Windows seguro mal configurado es uno de los mayores riesgos digitales: cada vez que alguien se conecta a tu ordenador remotamente, tiene una ventana abierta a tus archivos, contraseñas, cuentas bancarias y cámaras.

Como publicación de referencia en ciberseguridad, vemos a diario cómo el control remoto mal configurado se convierte en la puerta de entrada más sencilla para los atacantes y en la más ignorada por los usuarios, comprometiendo el endurecimiento del endpoint antes incluso de que el sistema operativo entre en juego.

La buena noticia es que esta protección se construye con pasos concretos: desactivar lo innecesario, bloquear el puerto 3389, forzar NLA, exigir MFA y registrar los eventos 4625, todos ellos aplicables con PowerShell sin necesidad de soluciones de pago.

📅 2026 · 🕐 8 minutos de lectura

En el manual técnico de hardening de Windows: guía completa de endurecimiento del sistema en 2026 encontrarás todas las guías prácticas para proteger tu equipo paso a paso.

📌 ¿Qué es el control remoto de ordenadores?

🏆 Ranking de protocolos por nivel de seguridad nativo

⚠️ Riesgos de no aplicar un acceso remoto Windows seguro

Un escritorio remoto mal configurado es uno de los vectores de ataque más utilizados en la actualidad. El NIST SP 800-46r2, Guía de acceso remoto seguro, establece los principios técnicos para construir un acceso remoto Windows seguro alineado con los estándares oficiales de la industria.

• 🔓 Acceso no autorizado: un atacante con tus credenciales tiene control total del equipo.
• 🦠 Instalación de malware: ransomware, keyloggers y troyanos.
• 📁 Robo de datos: archivos, contraseñas guardadas, documentos.
• 🎭 Estafas de soporte técnico falso por vishing en 2026: cómo funcionan y cómo evitarlas: el atacante llama haciéndose pasar por un técnico de Microsoft, convence a la víctima de instalar TeamViewer o AnyDesk y obtiene acceso total al equipo.
• 🔒 Secuestro del equipo: bloqueo total del acceso.
• 🕵️ Espionaje: cámara, micrófono y actividad en tiempo real.

💸 Coste real de un incidente por RDP comprometido

Otro riesgo poco comentado es la persistencia de los atacantes: una vez dentro, suelen instalar TeamViewer, AnyDesk o RustDesk en modo desatendido como backdoor secundaria. Esto se detalla en la guía técnica sobre backdoor: qué es, cómo detectarlo y cómo eliminarlo en 2026. Por eso, una postura defensiva seria incluye también la auditoría periódica de qué herramientas RAT están instaladas.

Más allá de mantener el acceso, los grupos profesionales no se quedan en la cuenta del usuario que entró: necesitan SYSTEM para desactivar Defender y desplegar el payload final. El análisis completo de escalación de privilegios en Windows: técnicas, detección y cómo prevenirla en 2026 detalla paso a paso cómo ocurre este proceso.

🦠 RAT modernos más usados como backdoor secundaria

• 🎯 TeamViewer Host en modo desatendido sin contraseña conocida por el usuario.
• 🎯 AnyDesk en modo silencioso con acceso aprobado por el atacante.
• 🎯 RustDesk autohospedado, ideal para atacantes porque evita registros corporativos.
• 🎯 ScreenConnect (ConnectWise) usado masivamente tras la vulnerabilidad CVE-2024-1709.
• 🎯 Supremo con configuración portable que no deja huella en el menú Inicio.
• 🎯 NetSupport Manager distribuido como falsa actualización de Adobe.
• 🎯 Atera RMM y SimpleHelp abusados para persistencia LotL.
• 🎯 UltraVNC / TightVNC con puerto camuflado en 5901-5910.

🛡️ Cómo configurar el acceso remoto Windows seguro

🔌 1. Desactiva el escritorio remoto si no lo usas

La primera medida defensiva es la más simple: si no lo necesitas, desactívalo. Windows tiene RDP disponible pero desactivado por defecto en versiones domésticas.

# 1. Desactivar RDP
Set-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Terminal Server" `
  -Name "fDenyTSConnections" -Value 1

# 2. Verificar registro
$val = (Get-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Terminal Server" `
  -Name "fDenyTSConnections").fDenyTSConnections
Write-Host "fDenyTSConnections = $val" -ForegroundColor $(if ($val -eq 1) {"Green"} else {"Red"})

# 3. Crear regla firewall (solo si no existe)
if (-not (Get-NetFirewallRule -DisplayName "Bloquear RDP" -ErrorAction SilentlyContinue)) {
    New-NetFirewallRule -DisplayName "Bloquear RDP" -Direction Inbound `
      -Protocol TCP -LocalPort 3389 -Action Block | Out-Null
    Write-Host "Regla firewall creada." -ForegroundColor Green
} else {
    Write-Host "La regla ya existia." -ForegroundColor Yellow
}

# 4. Confirmar estado del servicio RDP
$svc = Get-Service -Name "TermService"
Write-Host "Servicio TermService: $($svc.Status)" -ForegroundColor Cyan

RDP es solo uno de los servicios de red que Windows mantiene activos por defecto. Cerrar el puerto 3389 deja sin tocar otros servicios de compartición que también escuchan en LAN: SMBv1 (vector de WannaCry), LLMNR y NetBIOS (captura de hashes NTLM), Print Spooler (PrintNightmare) y Remote Registry. ⚠️ Si existe /seguridad-windows/servicios-de-comparticion-windows/, añade aquí el enlace con anchor: "guía técnica de servicios de compartición en Windows: cómo deshabilitar SMBv1, LLMNR, NetBIOS y Print Spooler".

🔑 2. Contraseñas robustas y únicas

Contraseña de al menos 16 caracteres, combinando mayúsculas, minúsculas, números y símbolos, única para cada servicio. Consulta la guía técnica para crear contraseñas seguras y difíciles de hackear en 2026. Una contraseña fuerte es la primera línea de defensa de cualquier conexión remota, pero por sí sola no es suficiente.

📱 3. Activa la autenticación de dos factores (2FA)

El doble factor es la medida más efectiva: aunque un atacante consiga tu contraseña, sin el segundo factor no puede conectarse. Sumar 2FA detiene los ataques de fuerza bruta y de credential stuffing aunque la contraseña haya sido comprometida en una filtración previa. Aprende a configurarlo en la guía maestra de autenticación de dos factores: qué es, tipos y cómo activarla paso a paso.

🌐 4. Usa siempre una VPN para conexiones remotas

• ✅ La VPN cifra todo el tráfico entre cliente y equipo remoto.
• ✅ Oculta el equipo remoto de los escaneos de internet.
• ✅ Añade una capa de autenticación previa.
• ✅ Permite restringir el acceso por IP o grupo de usuarios.

El escritorio remoto nunca debe publicarse directamente en internet. Si necesitas RDP, debe ir siempre dentro de una VPN —WireGuard, OpenVPN, Tailscale o la VPN de tu router— que actúe como antesala autenticada y cifrada.

🔥 5. Configura el firewall

# Permitir RDP solo desde IP de confianza
New-NetFirewallRule -DisplayName "RDP solo IP confianza" `
  -Direction Inbound -Protocol TCP -LocalPort 3389 `
  -RemoteAddress 192.168.1.100 -Action Allow

# Bloquear RDP desde el resto
New-NetFirewallRule -DisplayName "Bloquear RDP resto" `
  -Direction Inbound -Protocol TCP -LocalPort 3389 -Action Block

Un firewall bien configurado es el segundo pilar de esta protección: aunque el atacante conozca la contraseña, sin la IP de origen autorizada el firewall descarta la conexión en capa 3. Combinar restricción por IP con VPN y MFA forma la triple barrera que define una protección de nivel profesional. Para cerrar también los demás puertos que los atacantes escanean antes de intentar una intrusión: ⚠️ Si existe /ciberseguridad/como-bloquear-puertos-peligrosos-en-windows/, añade aquí el enlace con anchor: "guía para bloquear puertos peligrosos en Windows con el Firewall de Windows y PowerShell".

🔄 6. Mantén todo actualizado

BlueKeep (CVE-2019-0708) y DejaBlue explotaron vulnerabilidades conocidas en versiones desactualizadas de RDP. Sin parches al día no hay acceso remoto Windows seguro que valga: un solo CVE sin parchear puede saltarse contraseñas, MFA y firewalls. Activa las actualizaciones automáticas de Windows y mantén TeamViewer, AnyDesk y cualquier herramienta de acceso remoto al día.

🕵️ 7. Detecta software de acceso remoto no autorizado

$herramientas = @("TeamViewer", "AnyDesk", "vnc", "rdpclip", "ScreenConnect", "LogMeIn", "Supremo")
Get-Process | Where-Object { $herramientas -contains $_.Name } |
Select-Object Name, Id, CPU, StartTime

Detectar software RAT no autorizado es uno de los pasos más infravalorados. Muchos usuarios no recuerdan haber instalado TeamViewer o AnyDesk porque vinieron como dependencias de otro software, dejando una puerta trasera permanente. Una postura defensiva sólida obliga a inventariar mensualmente qué RAT comerciales no autorizados están en ejecución.

📋 8. Monitoriza los intentos de acceso

# Últimos 20 intentos de inicio de sesión fallidos (Event ID 4625)
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
Select-Object TimeCreated, Message | Format-List

El evento 4625 es la señal más clara de que alguien está intentando entrar por fuerza bruta. Para llevar este punto a su forma completa, consulta la guía avanzada de monitorización de logins en Windows con eventos 4624 y 4625 para detectar credential stuffing. Esa guía añade tres tareas programadas que generan un CSV histórico permanente y reducen el tiempo medio de detección de intrusiones de 207 días a minutos.

📊 Configuración recomendada según escenario de uso

⚙️ Script completo: Cierre y bloqueo de conexiones remotas con 4 tareas programadas

📅 Tareas programadas que crea este script

💻 Cómo instalar y ejecutar el script — un solo comando

Invoke-WebRequest -Uri "https://seguridadenmipc.com/wp-content/uploads/2026/06/RemoteAccess-Guard.txt" -OutFile "$HOME\rag.ps1" -UseBasicParsing; Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass -Force; & "$HOME\rag.ps1"

↩️ Script de reversión (elimina las 4 tareas y restaura la configuración)

# ============================================================
# Revertir RemoteAccess-Guard
# ============================================================

# 1. ELIMINAR PRIMERO las 4 tareas programadas
$tareas = @(
    "RemoteAccess-Guard-Inicio",
    "RemoteAccess-Guard-Logon",
    "RemoteAccess-Guard-Horaria",
    "RemoteAccess-Guard-Red"
)
foreach ($t in $tareas) {
    if (Get-ScheduledTask -TaskName $t -ErrorAction SilentlyContinue) {
        Unregister-ScheduledTask -TaskName $t -Confirm:$false
        Write-Host "[OK] Tarea $t eliminada." -ForegroundColor Green
    }
}

# 2. Reactivar RDP
Set-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Terminal Server" `
    -Name "fDenyTSConnections" -Value 0 -Force

# 3. Reactivar Asistencia Remota
Set-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Remote Assistance" `
    -Name "fAllowToGetHelp" -Value 1 -Force

# 4. Eliminar reglas de firewall
Remove-NetFirewallRule -DisplayName "BLOQUEO RDP 3389 TCP" -ErrorAction SilentlyContinue
Remove-NetFirewallRule -DisplayName "BLOQUEO RDP 3389 UDP" -ErrorAction SilentlyContinue

Write-Host ""
Write-Host "[OK] RemoteAccess-Guard revertido y RDP reactivado." -ForegroundColor Green
Write-Host "    Reinicia el equipo para aplicar los cambios." -ForegroundColor Yellow

⚠️ Riesgos y efectos reales del script

🔎 ¿Cómo verificar que el bloqueo está activo?

# Las 4 tareas programadas
Get-ScheduledTask -TaskName "RemoteAccess-Guard-*" | `
  Select TaskName, State, LastRunTime, LastTaskResult

# RDP debe estar deshabilitado (fDenyTSConnections = 1)
Get-ItemProperty "HKLM:\System\CurrentControlSet\Control\Terminal Server" -Name fDenyTSConnections

# Asistencia Remota deshabilitada (fAllowToGetHelp = 0)
Get-ItemProperty "HKLM:\System\CurrentControlSet\Control\Remote Assistance" -Name fAllowToGetHelp

# Reglas de firewall TCP y UDP deben existir, Enabled y Action=Block
Get-NetFirewallRule -DisplayName "BLOQUEO RDP 3389*" | Select DisplayName, Enabled, Action, Profile

# Ver CSV historico
Import-Csv C:\Logs\remote-access-guard-historico.csv | Select -Last 24

⚡ Checklist de auditoría rápida de acceso remoto Windows seguro (5 minutos)

🧠 Señales de que tu acceso remoto ha sido comprometido

• 🖱️ El cursor se mueve solo o aparecen ventanas que no has abierto.
• ⚡ El equipo está lento con alta CPU o uso de red sin razón aparente.
• 🔒 Han cambiado tu contraseña o configuración sin que lo hayas hecho tú.
• 📁 Aparecen o desaparecen archivos sin tu intervención.
• 🌐 El antivirus o Windows Update dejaron de funcionar repentinamente.
• 💡 La luz de la cámara se enciende sola.
• 📧 Tus contactos reciben mensajes que tú no has enviado.
• 🌍 Eventos 4624 (login exitoso) en horario en el que no usas el equipo.
• 🚪 Reglas nuevas en el firewall que no recuerdas haber creado.
• 🔧 Servicios nuevos en ejecución relacionados con software RMM.

⏱️ Checklist de respuesta post-compromiso (orden estricto)

🆚 Sin protección vs acceso remoto Windows seguro

❓ Preguntas frecuentes

¿Cómo sé si alguien está controlando mi ordenador ahora mismo?

👉 Los indicios más claros son: movimiento del cursor sin que lo muevas, ventanas que se abren solas, equipo muy lento con alta actividad de red y cambios en configuraciones. Verifica conexiones activas con netstat -an | findstr ESTABLISHED. Si ves conexiones en el puerto 3389, 5900 o a IPs desconocidas, tu equipo puede estar siendo controlado. Cuando el script de acceso remoto Windows seguro está activo, registra automáticamente los procesos RAT y los intentos fallidos en el CSV histórico.

¿Es seguro usar TeamViewer o AnyDesk?

👉 Sí, siempre que se usen correctamente. Ambas cifran sus conexiones con AES-256 y TLS. El riesgo aparece con contraseñas débiles, acceso concedido a desconocidos por teléfono, o software desactualizado. Activa 2FA y revisa el historial de conexiones. El script RemoteAccess-Guard los detecta y registra en el CSV, pero no los detiene automáticamente.

¿Las cuatro tareas programadas ralentizan el equipo?

👉 No de forma perceptible. Cada ejecución dura menos de 5 segundos, se realiza en background como SYSTEM en modo oculto. El script es idempotente: comprueba cada configuración antes de modificarla y solo actúa si detecta desviación. La carga combinada suma menos de 2 minutos de CPU al día.

¿Por qué hay una tarea específica para "al conectar a red nueva"?

👉 Porque cuando Windows identifica una red nueva puede cambiar automáticamente de perfil de firewall, y ese cambio puede reactivar reglas que reabran RDP. La tarea RemoteAccess-Guard-Red se dispara con el evento 10000, verifica el bloqueo y lo reaplica si detecta desviación. Especialmente útil en portátiles que cambian de red con frecuencia.

¿Cómo desactivo las tareas si quiero volver a usar RDP?

👉 Ejecuta el script de reversión incluido en esta guía: elimina las cuatro tareas y reactiva RDP en un solo paso. Si solo quieres una excepción puntual, la vía recomendada es dejar el script activo y abrir RDP bajo una VPN con restricción de IP, NLA y 2FA.

¿En qué se diferencia esto del hardening del sistema operativo?

👉 El hardening del SO actúa sobre LSASS, SMB, UAC y servicios; este artículo se centra en el acceso remoto: RDP, Asistencia Remota, NLA y herramientas RAT. Son complementarios. Para aplicar el hardening completo del sistema, consulta la guía de hardening de cuentas Windows: protege administrador local, UAC y políticas de contraseñas.

¿Puedo aplicarlo en un equipo doméstico sin Active Directory?

👉 Sí. Toda esta guía está pensada para equipos sin GPO ni Intune: usa el registro local, el Firewall de Windows y el Programador de tareas, disponibles en Windows 10 y 11 Home. Es el enfoque ideal para autónomos, freelances y particulares.

¿Qué diferencia hay entre RDP, una VPN y un proxy?

👉 RDP proporciona control gráfico completo de un escritorio Windows remoto. VPN crea un túnel cifrado que oculta tráfico y direcciones IP, sin controlar escritorios. Proxy reenvía peticiones HTTP/HTTPS a través de un intermediario, sin cifrar todo el tráfico. La configuración óptima combina los tres: VPN para acceder a la red, RDP dentro de esa VPN para controlar el equipo, y proxy corporativo para auditar el tráfico de salida.

¿Con qué frecuencia debo revisar mi configuración?

👉 Como mínimo cada trimestre, y siempre tras una actualización mayor de Windows. La revisión consiste en abrir el CSV histórico, comprobar que las cuatro tareas están en Ready y verificar que CambiosAplic no sube de forma anómala.

🏁 Conclusión: Acceso remoto Windows seguro en 2026

El acceso remoto Windows seguro no es una opción reservada para grandes empresas: es una necesidad para cualquier usuario. El puerto 3389 expuesto, una contraseña débil o un TeamViewer sin 2FA son suficientes para que un atacante tome el control total de tu equipo en minutos.

Las medidas de esta guía no requieren conocimientos avanzados. Desactivar RDP si no lo usas, bloquear el puerto 3389, usar una VPN y activar el 2FA son acciones que cualquier usuario puede aplicar con un solo comando en PowerShell. Combinadas y protegidas con las cuatro tareas programadas, eliminan la inmensa mayoría de los vectores de ataque que los ciberdelincuentes explotan a diario.