Acabamos de recibir un ordenador nuevo en la oficina, necesitamos una herramienta de edición fotográfica o una utilidad de compresión, y lo primero que hacemos es escribir el nombre del programa en un buscador. El enlace que aparece en primer lugar no siempre es el del desarrollador.
A veces se trata de una copia casi perfecta del sitio oficial, alojada en un dominio comprado el día anterior, que distribuye un instalador modificado con un programa malicioso. Descargar e instalar un programa de forma segura empieza con este primer gesto: comprobar la dirección antes de hacer clic.
Comprobar la fuente del archivo antes de descargarlo
El escenario clásico es el siguiente: buscamos «VLC descargar» y hacemos clic en el primer resultado patrocinado. El sitio parece auténtico, el botón de descarga es idéntico, pero la URL no coincide con el dominio oficial del desarrollador. Este tipo de trampa se basa en nombres de dominio parecidos (una letra de más, un guion añadido o una extensión diferente).
Antes de iniciar una descarga, hay que comprobar dos cosas. Primero, que la URL de la barra de direcciones corresponda al sitio oficial del desarrollador del programa. Después, que la conexión esté cifrada (el candado del navegador). Un sitio sin HTTPS que ofrece un archivo ejecutable para descargar es una clara señal de alerta.
Las plataformas de distribución reconocidas (Microsoft Store, el sitio del desarrollador y repositorios como GitHub para proyectos de código abierto) siguen siendo las fuentes más fiables. Como explica el sitio Information Influx, contrastar la fuente de descarga con el sitio oficial del desarrollador es una costumbre que evita la mayoría de los instaladores trampa.
Un detalle que suele pasar desapercibido: los resultados patrocinados de los buscadores no están sujetos a los mismos filtros que los resultados orgánicos. Dar prioridad a los resultados orgánicos reduce el riesgo de acabar en un sitio falso.
Archivo descargado: comprobaciones que conviene hacer antes de instalarlo
Una vez que el archivo está en el disco, no hay que hacer doble clic de inmediato. La primera comprobación útil es verificar la huella digital del archivo (hash SHA-256). Muchos desarrolladores publican esta huella en su página de descarga. Se compara con la del archivo descargado mediante una utilidad integrada en el sistema (certutil en Windows, shasum en macOS o Linux). Si las dos huellas no coinciden, el archivo se ha modificado durante la descarga.
La segunda comprobación tiene que ver con la firma digital del instalador. En Windows, basta con hacer clic con el botón derecho en el archivo .exe y seleccionar «Propiedades» y la pestaña «Firmas digitales» para comprobar si el desarrollador ha firmado el programa. Un instalador sin firmar de un desarrollador comercial resulta sospechoso.
Analizar el archivo con un antivirus antes de ejecutarlo
Aunque haya un antivirus activo en segundo plano, analizar manualmente el archivo descargado antes de abrirlo añade una capa de protección. Algunos antivirus solo interceptan las amenazas cuando se ejecutan, no durante la descarga. El análisis manual obliga a inspeccionar el archivo por completo mientras está inactivo.
Para los archivos sospechosos, servicios en línea como VirusTotal permiten enviar un archivo y analizarlo simultáneamente con decenas de motores antivirus. Si varios motores detectan un archivo, hay que eliminarlo sin dudarlo.
Programas gratuitos y aplicaciones no deseadas: leer todas las pantallas de instalación
Los programas gratuitos financiados con publicidad suelen incluir aplicaciones adicionales en su instalador. A veces se conocen como «bundleware»: barras de herramientas para el navegador, utilidades de optimización del sistema o cambios en el motor de búsqueda predeterminado. Estos añadidos no son virus en sentido estricto, pero ralentizan el sistema y recopilan datos de navegación.
La trampa está en las pantallas de instalación que la mayoría de los usuarios aceptan haciendo clic en «Siguiente» sin leerlas. La opción «instalación recomendada» o «instalación rápida» casi siempre incluye estos componentes adicionales. Estas son las precauciones que conviene tomar en cada instalación:
- Elegir siempre la opción «instalación personalizada» o «avanzada», incluso para un programa de confianza, para ver la lista completa de componentes propuestos
- Desmarcar todas las casillas seleccionadas de antemano que correspondan a un programa de terceros, un cambio en la página de inicio del navegador o un «socio» del desarrollador
- Leer todas las pantallas de instalación hasta el final antes de hacer clic en «Siguiente», incluidas las notas en letra pequeña de la parte inferior de la ventana
- Si un programa exige instalar un componente de terceros y no permite rechazarlo, conviene buscar una alternativa de código abierto que no imponga nada
Actualizaciones de seguridad: un programa instalado nunca está «terminado»
Que un programa esté instalado y funcione no significa que el asunto esté zanjado. Las vulnerabilidades de seguridad pueden aparecer después del lanzamiento de una versión, y las correcciones llegan en forma de actualizaciones. Un programa sin actualizar se convierte en una puerta de entrada para los ataques, aunque se haya descargado originalmente de una fuente fiable.
El Reglamento europeo de Ciberresiliencia (Cyber Resilience Act), que entró en vigor en diciembre de 2024, obliga progresivamente a los desarrolladores de programas a gestionar las vulnerabilidades y a ofrecer actualizaciones correctivas durante toda la vida útil del producto. Las principales obligaciones se aplicarán a partir del 11 de diciembre de 2027, con una fecha límite intermedia, el 11 de septiembre de 2026, para notificar las vulnerabilidades que se estén explotando activamente.
Elegir un programa que siga recibiendo mantenimiento activo
Antes de instalar un programa, se puede comprobar la fecha de su última actualización en el sitio del desarrollador o en su repositorio de código. Si la última versión de un programa se publicó hace varios años y no se menciona ninguna corrección de seguridad, existe un problema concreto: las vulnerabilidades descubiertas desde entonces nunca se corregirán.
En el propio sistema operativo, activar las actualizaciones automáticas sigue siendo el método más fiable para corregir las vulnerabilidades del sistema y de los componentes integrados (navegador, lector de PDF, entorno Java o .NET). Algunos programas de terceros incluyen su propio mecanismo de actualización automática. Si no es el caso, una comprobación manual mensual suele bastar en la mayoría de las situaciones.
En definitiva, los buenos hábitos para descargar e instalar un programa de forma segura se resumen en unos pocos pasos que se pueden comprobar: verificar la fuente, inspeccionar el archivo, leer las pantallas de instalación y mantener el programa actualizado. Son hábitos que solo llevan unos segundos, pero que pueden evitar horas de limpieza después de una infección.
