Estás de viaje, tu teléfono se quedó sin señal y necesitas cambiar de hotel rápido. En la recepción hay una PC del business center, el browser está abierto, y una recepcionista amable te invita a «conectarte sin problema». Dudas un segundo, te vienen a la cabeza dos hilos de Reddit inquietantes que leíste alguna vez, y tecleas igual tu contraseña de Gmail. Una semana después te enteras de que te entraron a la cuenta justo a la hora en que estabas en aquel kiosco.
Las computadoras compartidas no son necesariamente maliciosas, pero no son tuyas. No sabes qué corre en segundo plano, si se están guardando contraseñas, si alguien al lado está mirando o si la tienda de extensiones del browser esconde un keylogger disfrazado de extensión. El riesgo es real; los consejos prácticos suelen ser vagos. Este artículo ordena lo que de verdad ocurre y muestra un setup que esquiva el problema.
Qué capturan realmente los dispositivos compartidos
Pulsaciones de teclado. En un dispositivo comprometido, alcanza con un keylogger pequeño para capturar cada contraseña que tecleas. Los keyloggers de hardware entre el teclado y el puerto USB son una variante; los de software se disfrazan de servicio del sistema y son invisibles para quien no tenga permisos de admin.
Contraseñas guardadas y autofill. Cuando el browser te ofrece guardar la contraseña y haces clic en «sí» sin pensar, va a parar al almacén local de contraseñas y queda al alcance de cualquier usuario posterior. Lo que la protege suele ser nada más que la contraseña del sistema, que tú conoces, pero también el dueño de la máquina y su familia.
Historial del browser y cookies. Incluso después de cerrar sesión correctamente, las URLs y las cookies de sesión quedan a un clic de «Historial». El modo incógnito ayuda, pero solo si te acuerdas de usarlo, y solo contra rastros locales, no contra keyloggers ni grabación de pantalla.
Portapapeles. Copias una contraseña desde un gestor y se queda en el portapapeles del sistema hasta que algo la sobrescriba. Muchos clipboard managers van anotando en silencio todo lo que se copia.
Tres escenarios, tres riesgos
El kiosco del hotel o de la biblioteca. La PC es pública, la administra alguien sin perfil técnico, corre muchas veces con software desactualizado y casi nunca se limpia entre un usuario y otro. El riesgo base es un keylogger que alguien instaló antes que tú. La probabilidad no es altísima, pero en el peor de los casos pierdes una cuenta entera.
La computadora de un amigo. El dispositivo es personal y probablemente no malicioso, pero no sabes en qué estado anda. Un amigo con buena intención puede haber instalado una extensión que loguea cada campo de contraseña. Peor todavía: si por accidente le das a «Guardar», tu contraseña termina en el almacén de contraseñas de su browser.
La laptop de trabajo de un colega. Acá se suma el área de IT. Las laptops corporativas suelen tener endpoint monitoring que loguea pulsaciones y tráfico del browser. No hay mala intención, pero tu contraseña personal igual acaba en los logs de un empleador que ni siquiera te contrató.
Las precauciones clásicas, evaluadas con honestidad
| Medida | Frena keyloggers | Frena robo de cookies | Práctica |
|---|---|---|---|
| Modo incógnito | No | Parcial | Sí |
| Password manager + autofill | No | No | Solo si está instalado |
| Cerrar sesión al terminar | No | Sí | Sí |
| Borrar historial del browser | No | Parcial | Sí |
| Llave de hardware (FIDO2) | No | Sí | Solo si lo preparaste |
| Cloud browser | Sí | Sí | Sí |
El incógnito y cerrar sesión resuelven el problema de las cookies, no el de los keyloggers. Una llave de hardware protege el momento del login en sí, pero no la sesión que viene después; si el atacante tiene un infostealer en el dispositivo, te toma la sesión justo cuando terminas de autenticarte. Más sobre ese camino en Session Hijacking.
La única medida que de verdad funciona contra todos los ataques que importan en dispositivos compartidos es hacer que el login no suceda en el dispositivo, punto.
Por qué un cloud browser disuelve el problema
Un cloud browser es un browser que corre en infraestructura externa y solo te manda su imagen en streaming. Lo ves dentro de una pestaña del browser local, pero el procesamiento real ocurre en una VM desechable en un datacenter. Cuando tecleas tu contraseña pasa esto: los caracteres viajan como paquete cifrado hasta la sesión remota, que los usa en su propio formulario del browser y después manda el resultado cifrado al servicio que te autentica. Nada de esto toca la máquina local en un nivel al que un keylogger pueda llegar, porque la contraseña nunca existió como tal en la máquina local, solo como stream cifrado.
Al mismo tiempo, no queda ninguna cookie de sesión en el dispositivo compartido, porque la cookie vive dentro del contenedor cloud, que se descarta al final. El autofill y el almacenamiento de contraseñas no corren localmente. El historial del browser contiene únicamente la URL del cloud browser en sí, no los sitios que visitaste adentro.
En resumen: la máquina local deja de formar parte del camino del login. Es nada más que una pantalla y un proxy de teclado que pasa eventos cifrados.
Un flujo de trabajo práctico
Para esos casos raros en los que de verdad tienes que trabajar en el dispositivo de otra persona, con este flujo alcanza.
- 1
No abras el browser local, abre un cloud browser
La instalación local de Chrome o Edge queda intacta. Lanzas una sesión cloud en una pestaña nueva. - 2
Inicia sesión una sola vez en el vault de tu password manager
Dentro del cloud browser. De ahí en más, el autofill se ocupa de los demás logins. El único secreto que tecleas de verdad en el teclado del dispositivo prestado es la contraseña maestra. - 3
Usa 2FA de un solo uso para las cuentas críticas
Si llevas una llave de hardware encima, enchúfala solo el tiempo que dure el login. Para TOTP, con un código desde el teléfono basta. - 4
Cierra la sesión cloud de forma consciente
No solo la pestaña, la sesión. Un clic en «Terminar sesión» desmonta el contenedor cloud. Lo que queda en el dispositivo local es un historial de pestaña con la URL del servicio cloud y nada más.
Llévate un escritorio entero a cualquier dispositivo
Prueba Browser.lol gratis y trabaja como en un PC desde el móvil.
Abrir mi navegador en la nubeSin descargas • Funciona en cualquier dispositivo
