¿Necesitas un antivirus en tu ordenador personal? La respuesta honesta

Es probablemente la pregunta que más veces nos hace la gente cuando se entera de que trabajamos en esto, justo después de “oye, ¿me puedes mirar el móvil?”.

Y la respuesta corta es incómoda, porque son dos a la vez:

Sí, necesitas un antivirus. No, probablemente no necesitas comprar uno.

Vamos a desarrollarlo, porque el matiz es justo lo interesante.

Ya tienes uno, y es bastante decente

Si usas Windows 10 u 11, tu ordenador viene con Microsoft Defender activado de fábrica. No es el antivirus flojito que era hace diez años: hoy compite de tú a tú con las soluciones de pago en los análisis independientes de laboratorios como AV-TEST o AV-Comparatives (puedes consultar sus informes, son públicos y se actualizan cada pocos meses).

Además trae SmartScreen, que avisa cuando descargas un programa que casi nadie ha descargado antes o cuando visitas un sitio marcado como peligroso.

Si usas macOS, tienes tres capas trabajando en silencio: Gatekeeper (comprueba que las apps estén firmadas y notarizadas por Apple antes de dejarlas abrirse), XProtect (detección de malware conocido) y las herramientas de eliminación que Apple actualiza en segundo plano.

Que quede claro: no es el mejor antivirus del mercado, ni pretende serlo. Si le pides a un laboratorio que lo compare contra los de pago en condiciones exigentes, no siempre gana. Pero para el día a día, si lo acompañas de buenos hábitos —que es de lo que trata el resto de este artículo—, es más que suficiente. Así que, para la inmensa mayoría de la gente que lee esto, el antivirus del sistema es suficiente, siempre que se cumplan tres condiciones que la gente incumple constantemente:

1. Que esté activado (no desactivado “un momento” en 2023 para instalar algo y nunca reactivado).
2. Que el sistema esté actualizado.
3. Que no uses la cuenta de administrador para el día a día.

El problema es que el antivirus no es tu problema

Aquí está el problema del asunto, y es lo que más nos cuesta explicar en una cena.

Un antivirus está diseñado, ante todo, para detectar archivos maliciosos. Existen suites más avanzadas que añaden capas extra —filtro antiphishing, cortafuegos propio, protección de banca online— y de eso hablaremos en otro artículo. Pero incluso con esas capas de más, la mayoría de las cosas malas que le pasan hoy a una persona normal no involucran ningún archivo malicioso:

• Te llega un SMS de “tu paquete está retenido”, metes los datos de la tarjeta en una web falsa. Ningún archivo. Ningún virus. Antivirus: no puede hacer nada.
• Reutilizas la contraseña del correo en una tienda online que sufre una brecha. Alguien entra en tu correo. Ningún archivo. Antivirus: no puede hacer nada.
• Te llaman diciendo que son del banco, te convencen para que instales una app de “soporte remoto” —que es legítima, no es malware— y les das control del ordenador. Antivirus: no puede hacer nada, la app es real.
• Instalas una extensión de navegador gratuita para descargar vídeos. Meses después cambia de dueño y empieza a robar sesiones. Antivirus: casi nunca hace nada ahí.

Por eso la pregunta “¿qué antivirus me compro?” es un poco como preguntar “¿qué cerradura le pongo a la puerta?” cuando el problema es que abres a cualquiera que dice que viene a revisar las tuberías.

El antivirus cubre una parte del riesgo. Tus hábitos cubren la mayor parte.

¿Cuándo sí merece la pena pagar por uno?

No somos anti-antivirus de pago. Hay casos donde tiene sentido:

Situación	¿Merece la pena?
Uso normal: navegar, correo, banca, ofimática	No. Con el del sistema y buenos hábitos vas sobrado
Ordenador compartido con menores o con gente poco técnica	Puede compensar, sobre todo por el control parental y los informes
Descargas mucho software de fuentes variadas	Sí, una segunda opinión ayuda
Trabajas por tu cuenta y el portátil es tu herramienta de trabajo	Sí, y valora hacer copias de seguridad automáticas antes que el antivirus
Quieres dormir mejor y te sobran 40 € al año	Legítimo. Que la tranquilidad también cuenta

Si te decides por uno de pago, mira dos cosas: que no venga con veinte extras que ralentizan el equipo (limpiadores, aceleradores, gestores de actualizaciones) y que la VPN incluida —casi todos la ponen ahora— no sea el motivo principal por el que lo compras, porque suelen ser versiones muy limitadas.

Lo que NO deberías instalar nunca

Esta lista es más importante que la anterior:

• “Limpiadores” y “optimizadores” de PC. Ese que promete que tu ordenador irá “hasta un 300 % más rápido”. En el mejor de los casos no hacen nada útil; en el peor, meten publicidad, cambian tu buscador o directamente son malware disfrazado.
• Antivirus gratuitos de marcas que no conoces. Un antivirus tiene permisos absolutos sobre tu equipo. Instalar uno de procedencia dudosa es entregarle las llaves de todo a un desconocido.
• Dos antivirus a la vez. No te protege el doble: se pelean entre ellos, consumen recursos y a veces se bloquean mutuamente.
• Cualquier cosa que te haya llegado por un pop-up. Si una ventana te dice que tienes “3.482 errores críticos”, el único error crítico es la ventana.
• Programas descargados del primer resultado patrocinado del buscador. Es una técnica habitual: pagan anuncios que imitan la web oficial. Baja hasta el resultado real o escribe la dirección oficial a mano.

Los hábitos que valen más que cualquier antivirus

Si solo te llevas una sección del artículo, que sea esta.

1. Actualiza. De verdad. Sistema operativo, navegador y programas. La mayoría de infecciones aprovechan fallos que ya tenían parche. Ese “recordármelo mañana” lleva ocho meses acumulándose.

2. Usa un gestor de contraseñas. Una contraseña distinta para cada sitio, y que no te la sepas de memoria. Es el cambio individual que más reduce tu riesgo, con diferencia. La contraseña del correo debe ser única y sagrada: quien controla tu correo puede restablecer todo lo demás.

3. Activa el segundo factor (MFA). Sobre todo en correo, banca y redes sociales. Mejor con app de códigos o llave física que por SMS: el SMS se puede interceptar duplicando tu tarjeta.

4. No uses la cuenta de administrador a diario. En Windows, crea una cuenta estándar para el uso normal. Así, cuando algo intente instalarse solo, necesitará una contraseña que tú tendrás que escribir conscientemente.

5. Haz copias de seguridad. La regla clásica: tres copias, en dos soportes distintos, una de ellas fuera de casa (o en la nube). Es la única defensa real contra el ransomware. Un antivirus puede fallar; una copia de ayer, no.

6. Descarga solo de la fuente oficial. La web del fabricante o la tienda del sistema. Nada de “programa_full_2026_crack.exe”: el software pirata es uno de los principales vectores de infección doméstica, y no es casualidad.

7. Revisa las extensiones del navegador. Entra en la lista, y quita todo lo que no uses o no recuerdes haber instalado. Cada extensión ve lo que haces en el navegador.

8. Desconfía de la urgencia. Es el denominador común de casi toda estafa: tienes que actuar ya, o pierdes el paquete, o te bloquean la cuenta, o te multan. Nadie legítimo te mete esa prisa. Cuelga, respira, y llama tú al número oficial.

9. Cifra el disco. BitLocker en Windows, FileVault en macOS. Si te roban el portátil, es la diferencia entre perder un aparato y perder todo lo que hay dentro.

10. Bloquea las macros de Office. Las versiones actuales ya bloquean por defecto las macros de archivos descargados de internet. Si alguna vez un documento te pide “habilitar contenido” para verse bien, la respuesta es no.

Cómo comprobar si una web es maliciosa

Antes de meter una sola contraseña, mira estas cosas. Te lleva diez segundos.

Lee el dominio de derecha a izquierda

Es el truco que más suplantaciones destapa. El dominio real es el que va justo antes de la primera barra, leyendo hacia atrás desde ahí:

https://correos.es.envios-seguros.top/seguimiento
                  ↑ el dominio real es envios-seguros.top
                    "correos.es" es solo un subdominio decorativo

https://www.correos.es/seguimiento
            ↑ el dominio real es correos.es

Cualquiera puede poner bbva.es, hacienda.gob.es o netflix.com como subdominio de un dominio que controla. Mira siempre el final, no el principio.

El candado no significa nada

https:// y el candado solo dicen que la conexión va cifrada, no que el sitio sea honesto. Una web de phishing puede tener candado perfectamente, y de hecho hoy casi todas lo tienen porque los certificados son gratis. El candado protege de que alguien espíe la conversación, no de que estés hablando con un estafador.

Otras señales

• Erratas sutiles en el dominio: arnazon.com, bbva-es.com, correos-es.com. Se llama typosquatting y funciona porque nadie lee con lupa.
• Dominio recién creado. Puedes consultar la edad de un dominio con cualquier servicio de whois. Una web de un banco creada hace tres días es, digamos, sospechosa.
• Enlaces acortados. Si no sabes a dónde llevan, no los abras a ciegas; hay servicios que expanden el enlace sin visitarlo.
• Te ha llegado el enlace, tú no lo buscaste. La regla de oro: nunca introduzcas credenciales en una web a la que has llegado desde un enlace. Cierra, escribe la dirección a mano o entra desde tus favoritos. Si la alerta era real, la verás igual dentro de tu cuenta.

Y si quieres una segunda opinión: VirusTotal

Puedes pegar la URL en VirusTotal y te dirá qué opinan de ella decenas de motores de seguridad. Es útil, pero con una advertencia: que salga limpio no garantiza que sea seguro. Una web de phishing creada hace dos horas todavía no está en ninguna lista. Un resultado limpio no te da permiso para ignorar todo lo anterior.

Cómo comprobar si un archivo es malicioso

Primero, mira la extensión de verdad

Windows oculta las extensiones conocidas por defecto, y eso es un regalo para los atacantes: factura.pdf puede ser en realidad factura.pdf.exe. Actívalas: en el Explorador de archivos, pestaña Vista → marca Extensiones de nombre de archivo. Es un clic y lo cambia todo.

Extensiones para tratar con respeto: .exe, .msi, .scr, .bat, .cmd, .ps1, .vbs, .js, .lnk, .iso y .img. Y desconfía especialmente de un ZIP protegido con contraseña que te llega por correo con la contraseña en el mismo mensaje: eso se hace para que el antivirus no pueda mirar dentro.

Después, pásalo por VirusTotal

VirusTotal es gratuito y analiza el archivo con más de setenta motores antivirus a la vez. El proceso:

1. Entra en la web y elige la pestaña File.
2. Arrastra el archivo o selecciónalo con Choose file.
3. Espera unos segundos al análisis.
4. Lee el resultado: verás algo como 0/72 o 48/72 — motores que lo consideran malicioso sobre el total.

Fíjate en la frase que la propia web pone bajo el logotipo: “analyse suspicious files… and automatically share them with the security community”. Lo dice sin disimulo, y es justo la advertencia de la que hablamos un poco más abajo.

Cómo interpretar el resultado, que es donde la gente se equivoca:

Resultado	Qué significa
0 detecciones	Buena señal, pero no garantía: el malware muy reciente puede pasar limpio
1–3 detecciones	Suele ser falso positivo, típico en programas pequeños o poco conocidos. Mira qué motores son y qué nombre le dan
Más de 5–10 detecciones	Malo. No lo abras
Detecciones con nombres genéricos tipo Heuristic, Generic, Suspicious	Menos fiable que un nombre concreto de familia de malware

Merece la pena mirar también la pestaña Details (cuándo se vio por primera vez ese archivo) y Relations (con qué direcciones se comunica).

La advertencia importante sobre VirusTotal

Esto casi nunca se cuenta y es fundamental:

Todo lo que subes a VirusTotal se comparte con la industria de seguridad. Otros investigadores y empresas con cuenta pueden descargar tu archivo. No subas nunca documentos con datos personales, nóminas, contratos, DNI escaneados ni nada confidencial.

¿Y si necesitas comprobar un archivo así? Usa su hash en lugar de subirlo. El hash es una huella digital del archivo: lo identifica sin revelar su contenido. Lo sacas en un momento:

# Windows (PowerShell)
Get-FileHash C:\ruta\al\archivo.exe -Algorithm SHA256

# macOS
shasum -a 256 /ruta/al/archivo

# Linux
sha256sum /ruta/al/archivo

Copia el resultado, pégalo en el buscador de VirusTotal y pulsa Enter. Si ese archivo ya se analizó antes, verás su informe sin haber subido nada. Y si no aparece, al menos no has filtrado tu documento a medio mundo.

Si crees que ya estás infectado

Por orden, y sin ponerte nervioso:

1. Desconecta de internet (WiFi o cable). Corta la comunicación con el atacante.
2. Cambia las contraseñas desde otro dispositivo, nunca desde el equipo sospechoso. Empieza por el correo.
3. Cierra las sesiones abiertas en tus cuentas importantes: casi todos los servicios tienen esa opción, y revisa el MFA por si han añadido un dispositivo.
4. Pasa un análisis completo, y si puedes, uno de los que se ejecutan antes de arrancar el sistema (Microsoft Defender incluye esa opción).
5. Si es ransomware y te piden dinero: no pagues. Pagar no garantiza recuperar nada y financia el negocio. Restaura desde tu copia de seguridad, que para eso la tienes.
6. Si es un equipo de trabajo, avisa a tu departamento de IT aunque te dé vergüenza. Siempre es mejor un aviso rápido que una sorpresa a los tres meses.

En resumen, la checklist

[ ] Antivirus del sistema activado y actualizado (no hace falta comprar otro)
[ ] Sistema y navegador actualizados
[ ] Gestor de contraseñas, con contraseña única en el correo
[ ] MFA activado en correo, banca y redes
[ ] Cuenta de usuario estándar para el día a día
[ ] Copias de seguridad automáticas (3 copias, 2 soportes, 1 fuera)
[ ] Extensiones de archivo visibles en el Explorador
[ ] Extensiones del navegador revisadas y podadas
[ ] Disco cifrado (BitLocker / FileVault)
[ ] Norma personal: ninguna contraseña se escribe llegando desde un enlace

El mejor antivirus sigue siendo el de siempre: pararte tres segundos antes de hacer clic. No se descarga, no caduca, y encima es gratis.

¿Cuál de estos hábitos te falta por implantar? Si es el de las copias de seguridad, hazlo hoy mismo. Es el que más se agradece el día malo.