Cryptojacking: qué es y cómo detectarlo
Publicado el 25 de mayo de 2026 por Sergio Jiménez Mazure en Inteligencia Artificial.
Hay delitos digitales que entran rompiendo la puerta, hacen ruido, dejan cristales en el suelo y obligan a todos a mirar. El cryptojacking, en cambio, prefiere entrar como los malos espías de las novelas de Arthur Conan Doyle: sin levantar la voz, sin enseñar el arma y, si puede, sin que nadie note que estuvo allí. Su lógica es simple y bastante incómoda: usar tu ordenador, tu servidor, tu móvil, tu router o cualquier dispositivo conectado para minar criptomonedas sin tu autorización. No busca necesariamente tus fotos, tus contraseñas o tus documentos. Busca algo menos visible, pero muy valioso: la capacidad de cálculo de tus equipos.
En mi caso, suelo comentar esto en talleres con empresas y equipos de marketing digital porque todavía existe una idea peligrosa: creer que la ciberseguridad es un asunto exclusivo del área de sistemas. Desgraciadamente, en la práctica, basta con un computador de oficina mal cuidado, una extensión de navegador dudosa o un servidor olvidado en la nube para convertir a una empresa en una pequeña mina clandestina. Una mina sin casco, sin permisos y sin sueldo para el trabajador principal: tu propio dispositivo. Ironías de la modernidad; antes nos preocupaba que las máquinas nos quitaran el trabajo, ahora algunas trabajan gratis para delincuentes mientras nosotros pagamos la luz.
La palabra cryptojacking mezcla “crypto”, por criptomonedas, y “hijacking”, secuestro. Y la imagen no puede ser más precisa. Es un secuestro silencioso de recursos. Como en las viejas guerras de desgaste, el atacante no necesita conquistar una ciudad entera para ganar. Le basta con ocupar pequeñas posiciones, consumir energía, agotar al enemigo y mantener la operación el mayor tiempo posible. Tu equipo sigue encendido, abre el correo, carga una hoja de cálculo, reproduce una videollamada. Todo parece normal, salvo por esa sensación de que algo pesa más de lo debido.
Más allá de la moda de las criptomonedas, lo importante es entender qué se está explotando. Para generar ciertas monedas digitales se requiere potencia de procesamiento. Esa potencia cuesta dinero: hardware, electricidad, refrigeración, mantenimiento. El truco del cryptojacking consiste en trasladar esos costes a otros. El atacante se queda con el beneficio y la víctima asume el desgaste. Es una versión digital de las viejas expediciones por oro, solo que esta vez no hay carabelas cruzando el Atlántico, sino scripts, procesos ocultos y dispositivos conectados trabajando como galeotes modernos.
El cryptojacking no roba tus archivos primero; roba algo más discreto: tiempo, energía y vida útil de tus equipos.
Por eso puede afectar a cualquiera. A una persona que navega desde casa, a una pyme en Quito con varios computadores administrativos, a un estudio de diseño con máquinas potentes, a una universidad con laboratorios llenos de equipos o a una empresa que contrató servicios en la nube y nunca revisó bien su configuración. Donde hay procesamiento disponible, hay una oportunidad para quien quiere minar a costa ajena. Y ahora más que nunca vivimos rodeados de objetos conectados, desde cámaras hasta routers, desde servidores hasta portátiles que permanecen encendidos todo el día.
Julio Verne imaginó viajes al centro de la Tierra. Nosotros, menos románticos y bastante más descuidados, hemos construido un mundo donde alguien puede excavar valor dentro de nuestros propios dispositivos sin pedir permiso. Esa es la verdadera incomodidad del cryptojacking: no siempre se presenta como una catástrofe evidente, sino como una ocupación gradual de lo cotidiano. Y cuando un riesgo se vuelve cotidiano, solemos tratarlo como paisaje. Ahí empieza el problema.
La pregunta, por tanto, no es si tienes criptomonedas o si te interesa ese mercado. La pregunta es mucho más sencilla y más incómoda: ¿cuántos dispositivos conectados estás usando hoy sin saber realmente qué están haciendo en segundo plano?
Una vez entendido el concepto, conviene bajar al sótano de la máquina. Porque el cryptojacking no ocurre por arte de magia ni por esa superstición tecnológica tan cómoda de “algo le pasó al computador”. Detrás hay una cadena bastante concreta: alguien introduce un código de minería, ese código se ejecuta en el dispositivo o servidor comprometido, consume capacidad de procesamiento y envía el resultado del trabajo a una billetera o a un pool controlado por el atacante. Simple, eficiente y miserable. Como tantas cosas en internet.
En mi caso, cuando explico este proceso a directivos o equipos de comunicación, suelo usar una comparación poco elegante pero efectiva: es como si alguien entrara por la noche a una oficina, enchufara sus propias máquinas a la electricidad de la empresa y se fuera cobrando por lo que producen. Al día siguiente, las luces siguen encendidas, las sillas están en su sitio y nadie ve una caja fuerte abierta. Pero el negocio ya está pagando una operación que no le pertenece. Eso es lo que hace un ataque de minería oculta: convierte infraestructura ajena en una fuente de ingresos propia.
El funcionamiento puede variar según el entorno. En algunos casos, el atacante compromete una página web e inserta un script que se ejecuta desde el navegador del visitante. Mientras la persona navega, parte de la capacidad de su equipo se emplea para resolver cálculos criptográficos. En otros casos, el ataque es más persistente: se instala un programa malicioso en el sistema operativo, en un servidor Linux, en una máquina virtual, en un contenedor mal configurado o incluso en un dispositivo IoT con credenciales pobres. La historia cambia de escenario, pero el guion se mantiene.
La minería de criptomonedas exige resolver operaciones matemáticas para validar transacciones o participar en redes donde la prueba de trabajo sigue teniendo sentido económico. Monedas como Monero han resultado atractivas para ciertos delincuentes porque pueden minarse con CPU comunes y ofrecen mayor privacidad en el movimiento de fondos. No estamos hablando del romanticismo de los buscadores de oro del siglo XIX, con pico, pala y fiebre en los ojos. Aquí el pico es un proceso oculto, la pala es tu procesador y la mina puede estar en una laptop de oficina en Cuenca, un servidor en Guayaquil o una instancia olvidada en la nube.
Arthur Conan Doyle habría disfrutado el detalle forense del asunto. Sherlock Holmes no miraría solamente el cadáver digital, sino las huellas mínimas: qué proceso se lanzó, desde dónde se conectó, qué permisos obtuvo, cómo se camufló. Porque el cryptojacking moderno no siempre trabaja con torpeza. Muchas campañas se diseñan para ocultarse, cambiar de nombre, imitar procesos legítimos del sistema o conectarse a diferentes pools de minería si uno deja de responder. La delincuencia también automatiza, por supuesto. Faltaba más: la innovación, cuando no tiene ética, también escala.
El ciclo habitual de un ataque se parece bastante a una operación militar de ocupación discreta. Primero viene el reconocimiento: escanear internet en busca de servidores vulnerables, paneles expuestos, contraseñas débiles o servicios desactualizados. Luego llega la intrusión: aprovechar una falla, engañar al usuario con una descarga manipulada o colarse mediante una extensión aparentemente útil. Después viene la instalación del minero y, si el atacante sabe lo que hace, la persistencia: dejar mecanismos para que el software vuelva a ejecutarse aunque alguien reinicie el equipo o cierre una sesión.
- Entrada: el atacante aprovecha una vulnerabilidad, una mala configuración o una descarga alterada.
- Ejecución: el código de minería se activa en el dispositivo, servidor, navegador o entorno cloud.
- Conexión: el minero se comunica con un pool para recibir tareas y entregar resultados.
- Monetización: las recompensas se acumulan en cuentas controladas por el atacante.
- Ocultamiento: el proceso intenta pasar desapercibido para mantenerse activo durante más tiempo.
Más allá de la parte técnica, lo interesante es la lógica económica. Un atacante no necesita que un solo computador produzca una fortuna. Necesita miles de dispositivos trabajando poco a poco, como peones en un tablero de ajedrez que avanzan sin gloria pero con disciplina. Cada equipo aporta una fracción. Cada servidor mal cuidado suma otra. Cada router abandonado en una esquina de la red empuja un poco más la caja registradora clandestina. Por tanto, el volumen compensa la modestia de cada víctima individual.
También por eso el cryptojacking se ha profesionalizado. Ya no hablamos únicamente de un script pegado con cinta adhesiva digital en una web sospechosa. Hablamos de botnets, automatización, explotación de servicios expuestos, abuso de contenedores, credenciales filtradas y software que busca sobrevivir el mayor tiempo posible. Como decía Asimov en varias de sus historias, el problema nunca es solo la máquina, sino la intención humana que la gobierna. Y aquí la intención es bastante clara: que otros paguen el coste de producir dinero digital.
En el cryptojacking, la víctima no compra la maquinaria, pero termina financiando la mina.
Lo cierto es que esta mecánica resulta incómoda porque rompe una idea muy extendida: que un ataque informático siempre quiere llevarse algo visible. A veces no se lleva tus archivos. A veces se queda a vivir en tus recursos. Esa diferencia es clave. No actúa como un ladrón que huye con una bolsa al hombro, sino como un funcionario corrupto instalado en el presupuesto: cobra todos los días, se esconde entre papeles y espera que nadie haga demasiadas preguntas.
Y ahí está el punto que debemos mirar con seriedad. El cryptojacking funciona porque muchos entornos digitales crecen sin gobierno, sin inventario claro y sin una cultura mínima de responsabilidad tecnológica. Hemos conectado todo con entusiasmo, pero no siempre hemos entendido qué significa administrar esa conexión. La pregunta no es si la minería oculta parece sofisticada. La pregunta es más incómoda: ¿cuántas puertas digitales hemos dejado entornadas mientras celebrábamos, felices, la transformación digital?
Artículo base (referencia): https://www.trecebits.com/que-es-cryptojacking/