¿Qué es el escritorio remoto y cuándo está expuesto a internet?
El escritorio remoto permite manejar un ordenador desde otro, como si estuvieras delante. En Windows se usa el protocolo RDP, que escucha por defecto en el puerto 3389. Está expuesto cuando ese puerto responde desde internet, por ejemplo porque el router lo reenvía hacia dentro: algo que con una VPN no hace falta.
Funciona como cliente y servidor: el ordenador al que te conectas abre un puerto, que es la vía por la que entra la conexión, y el que se conecta desde fuera llega a su pantalla de inicio de sesión. INCIBE lo explica así y recuerda que, con una VPN, no hace falta abrir el router de la oficina al escritorio remoto.
| Situación | Desde internet se ve | Expuesto |
|---|---|---|
| Escritorio remoto solo dentro de la oficina | Nada | No |
| Escritorio remoto accesible tras conectarse a una VPN | La entrada de la VPN | No, si la VPN está al día y con doble factor |
| Router que reenvía el puerto 3389 a un ordenador | La pantalla de entrada de ese ordenador | Sí |
| El mismo reenvío, con el puerto cambiado a otro número | La misma pantalla, en otro puerto | Sí |
¿Por qué un escritorio remoto expuesto a internet es un riesgo?
Porque cualquiera puede llegar a su pantalla de entrada y probar contraseñas de forma automática hasta acertar, y porque una versión sin parchear puede tener fallos graves. INCIBE explica que es una vía frecuente para instalar un secuestro de datos (ransomware), y CISA pide no exponerlo en internet.
1 min 20 s
tardó el primer ataque contra unos escritorios remotos señuelo publicados en internet, según un estudio de Sophos que recogía INCIBE en 2019: 10 señuelos recibieron 4,3 millones de intentos de inicio de sesión en 30 días.
- Prueban los nombres de usuario de serie, como administrator, admin o user, y contraseñas débiles.
- Usan herramientas automáticas y redes de equipos infectados para probar muchas combinaciones contra muchas empresas a la vez.
- Si entran, instalan programas maliciosos: secuestro de datos, minado de criptomonedas o robo de contraseñas de otros servicios.
CISA, la agencia de ciberseguridad de Estados Unidos, lo pone entre las vías de entrada del ransomware en su guía #StopRansomware: no expongas en internet servicios como el escritorio remoto y, si es imprescindible, aplica controles que lo compensen. Qué hacer si el ataque ya ha llegado está en la guía del ransomware.
¿Cómo saber si tu empresa tiene el escritorio remoto expuesto a internet?
Pregúntale a tu informático si algún equipo acepta escritorio remoto desde fuera y por dónde se conecta la gente desde casa. Desde fuera, el diagnóstico de Talvit, en su nivel extendido, prueba el puerto 3389 en las direcciones de tu dominio; la de la oficina solo la ve si el dominio apunta a ella.
Pregunta a tu informático qué equipo responde en esa dirección y quién lo usa.
¿Hace falta entrar en ese equipo desde fuera?
- Sí
- Sigue.
- No
- Desactivar el escritorio remoto o cerrar el puerto en el router. Es lo primero que plantea INCIBE.
¿Hay ya una VPN en la empresa?
- Sí
- Que el escritorio remoto solo se alcance a través de la VPN, con doble factor.
- No
- Montar una VPN o una pasarela de escritorio remoto, con doble factor.
Comprobar desde fuera que el puerto ya no responde y guardar la fecha como prueba.
El nivel extendido se activa dentro del informe, declarando que eres responsable del dominio, y prueba también el puerto 5900, el de VNC, otro sistema de escritorio remoto. Sin él, el informe básico avisa si tu dominio tiene subdominios cuyo nombre delata un acceso remoto, como rdp, vpn o remoto: no prueba el puerto, lo deduce del nombre. Puedes lanzarlo desde el diagnóstico gratuito de tu dominio.
¿Qué alternativas hay a dejar el escritorio remoto expuesto a internet?
Tres: una VPN con doble factor, que cifra la conexión y deja el escritorio remoto solo dentro de la red; una pasarela de escritorio remoto, que Microsoft ofrece para conectar por internet sin VPN; o no necesitarlo, trabajando con aplicaciones en la nube. Las tres evitan que cada equipo responda directamente desde internet.
| Situación | Riesgo, orientativo | Qué hace falta | Qué dice la fuente |
|---|---|---|---|
| Escritorio remoto abierto a internet | Alto: la pantalla de entrada está al alcance de cualquiera | Nada: por eso se queda así | CISA: no exponerlo en internet |
| Escritorio remoto abierto, con el puerto cambiado | Casi igual: dificulta los ataques automáticos, no los impide | Cambiar un valor en el equipo y en el router | INCIBE lo llama seguridad por oscuridad y lo plantea solo si no hay VPN |
| VPN con doble factor y escritorio remoto dentro | Bajo: dos barreras antes de llegar al equipo | Un servidor VPN actualizado y doble factor | INCIBE: la opción con más garantías |
| Pasarela de escritorio remoto | Menor que abrirlo, si se mantiene actualizada | Un servidor con el rol de pasarela y un certificado de una autoridad pública | Microsoft: conexiones cifradas por internet sin VPN |
| Aplicaciones en la nube | Depende de la cuenta: con doble factor | Llevar el programa o los ficheros a un servicio gestionado | CISA anima a las pymes a llevar identidades y correo a proveedores gestionados |
La VPN crea una conexión cifrada entre el equipo de fuera y la red de la oficina, y el router deja de tener que aceptar conexiones de escritorio remoto desde internet. INCIBE la considera la opción con más garantías y añade que el servidor VPN también tiene que estar actualizado. El portátil de quien trabaja desde casa tiene su propia guía: teletrabajo seguro.
¿Qué medidas recomienda INCIBE si hay que mantener el escritorio remoto?
Primero, valorar si hace falta y desactivarlo si no. Si hace falta, INCIBE da ocho medidas: sistemas actualizados, VPN, usuarios no genéricos y contraseñas largas, bloqueo tras intentos fallidos, doble factor, cambiar el puerto si no hay VPN, autenticación a nivel de red y reglas de cortafuegos.
| Medida | Qué dice INCIBE | Qué pedir |
|---|---|---|
| Sistemas actualizados | Todo el software actualizado a la última versión; evitar sistemas sin soporte | Parches al día y un sistema con soporte del fabricante |
| VPN | La VPN como puerta de enlace entre el servidor y el usuario: la opción con más garantías | Que el escritorio remoto solo se alcance a través de la VPN |
| Usuarios y contraseñas | Nombres de usuario que no sean comunes, como Administrador, y contraseñas robustas lo más largas posible | Quitar usuarios genéricos y alargar contraseñas, también en la VPN |
| Bloqueo de cuenta | Restringir el acceso un tiempo tras varios intentos fallidos, más largo cuantos más intentos | Activar el bloqueo de cuenta |
| Doble factor | Un segundo dato además de la contraseña; mejor una aplicación que un SMS | Doble factor en la VPN y en el escritorio remoto |
| Cambiar el puerto | Solo si no se usa VPN: dificulta los ataques automáticos. Lo llama seguridad por oscuridad | No contar con ello como protección |
| Autenticación a nivel de red (NLA) | Autenticarse en la red antes de llegar al equipo, y limitar quién tiene acceso | Lista de usuarios con acceso, corta y revisada |
| Cortafuegos | Reglas que restrinjan el acceso a un conjunto controlado de equipos, por dirección IP | Permitir solo las direcciones de la empresa |
CISA coincide en lo esencial: revisar qué equipos usan escritorio remoto, cerrar los puertos que no se usen, bloquear la cuenta tras varios intentos, exigir doble factor y registrar los intentos de inicio de sesión. Cómo se activa el doble factor en cada servicio está en doble factor de autenticación.
¿Cambiar el puerto 3389 del escritorio remoto basta para protegerlo?
No. Cambiar el 3389 por otro número dificulta los ataques automáticos, pero el escritorio remoto sigue respondiendo desde internet a quien lo busque. INCIBE lo plantea solo para cuando no hay VPN y lo llama seguridad por oscuridad: esconder la puerta, no cerrarla. Las demás medidas siguen haciendo falta.
Si tu informático propone el cambio de puerto como solución, pregúntale qué más va a poner: doble factor, bloqueo de cuenta y, mejor, una VPN delante. La lista completa está en la sección siguiente.
¿Qué pedir a tu informático si el escritorio remoto de la empresa está expuesto?
Cinco cosas: la lista de equipos que aceptan escritorio remoto desde fuera, cerrar los que no hagan falta, una VPN o pasarela con doble factor para los demás, bloqueo de cuenta tras intentos fallidos y registro de los inicios de sesión remotos. Después, comprobar desde fuera que el puerto ya no responde.
Inventario
- Qué equipos aceptan escritorio remoto, también VNC u otros programas de control remoto.
- Quién se conecta a cada uno y desde dónde.
- Qué puertos reenvía el router de la oficina hacia dentro, y por qué.
Cierre
- Desactivar el escritorio remoto donde no haga falta.
- Quitar del router el reenvío del puerto 3389, o del que se use.
- Para los que sí hacen falta: acceso solo por VPN o por pasarela de escritorio remoto.
Refuerzo
- Doble factor en la VPN y en el escritorio remoto.
- Bloqueo de cuenta tras varios intentos fallidos.
- Sin usuarios genéricos como Administrador, y contraseñas largas.
- Sistemas y servidor VPN actualizados, con soporte del fabricante.
- Registro de los intentos de inicio de sesión remotos.
Prueba
- Comprobación desde fuera, con fecha, de que el puerto ya no responde.
- El cambio, anotado como evidencia en el dossier de seguridad.
Con Talvit, si el diagnóstico encuentra el escritorio remoto abierto, el informe lo marca como hallazgo crítico y propone el arreglo: cerrarlo y entrar por VPN con doble factor. Una vez cerrado, la prueba se guarda en el dossier de evidencias.
Lo que esta guía no cubre
- No explica paso a paso cómo configurar una VPN o una pasarela: depende de tu router y de tus equipos.
- No cubre el portátil de quien trabaja desde casa: eso está en teletrabajo seguro.
- No es un test de intrusión: para eso está el pentest.
Preguntas frecuentes
¿El escritorio remoto de Windows es inseguro en sí?
No. Es una función del sistema; el riesgo está en dejarlo accesible desde internet sin más barreras. Dentro de la red, o detrás de una VPN con doble factor, es una forma normal de trabajar: INCIBE habla de una doble barrera.
¿Una VPN es segura por sí sola?
No del todo: también hay que actualizarla y protegerla con doble factor. CISA advierte de que los atacantes también entran aprovechando VPN sin actualizar o credenciales robadas, y pide doble factor en todas las conexiones VPN.
¿El diagnóstico de Talvit prueba contraseñas en mi escritorio remoto?
No. En el nivel extendido abre la conexión con el puerto y cuelga: no envía datos, no prueba contraseñas ni busca versiones vulnerables. Solo responde a la pregunta de si la puerta está abierta.
Fuentes
- INCIBE, «¿Es seguro tu escritorio remoto?», 22 de agosto de 2019, consultado el
- CISA, MS-ISAC, NSA y FBI, #StopRansomware Guide, septiembre de 2023, consultado el
- Microsoft Learn, «Cambiar el puerto de escucha de Escritorio remoto», consultado el
- Microsoft Learn, «Implementación del rol Puerta de enlace de Escritorio remoto», consultado el
Registro de cambios
- : Publicación.
