Cyberpediapor Brain
ESDEENFR

Evil Maid: el ordenador olvidado en el hotel

Cómo puede comprometerse un ordenador dejado en una habitación de hotel si alguien se queda unos minutos a solas con él, y qué hacer.

En 30 segundos

Dónde ocurre
Un ordenador portátil dejado sin vigilancia (habitación de hotel, sala de reuniones, coche), aunque esté apagado o bloqueado.
Lo que busca el atacante
Colocar un código que se ejecute antes que el sistema, para robar datos, contraseñas o la clave de cifrado del disco12.
El reflejo
No dejar el equipo solo, apagarlo por completo antes de alejarse y usar un PIN de arranque si el servicio informático lo ofrece2.
Si ya ha ocurrido
Si el equipo pide una clave de recuperación sin motivo conocido, avise al servicio informático antes de volver a usarlo.

De qué se trata

El nombre «Evil Maid» (la camarera malintencionada) designa una situación sencilla: un ordenador se queda solo en una habitación de hotel y alguien accede a él durante unos minutos. El equipo está apagado o bloqueado y nada parece haberse movido. Sin embargo, una modificación hecha antes de que arranque Windows escapa a las protecciones que el sistema solo aplica una vez iniciado1.

Los programas maliciosos de arranque, los «bootkits», pueden en efecto iniciarse antes que Windows, eludir la seguridad del sistema y permanecer ocultos1. Esta ficha explica el principio, lo que se ve en la pantalla y los reflejos que reducen el riesgo. Las fuentes citadas aquí no describen ningún caso concreto de hotel: los casos fechados más abajo son ataques reales del mismo tipo (modificación del arranque o del firmware, hardware conectado), no escenas de hotel.

Preguntas directas

¿Se puede atacar de verdad un ordenador apagado?

Sí, si su arranque no está protegido. Un atacante con acceso directo al disco de arranque puede sobrescribir la zona donde está el cargador y desviar la ejecución hacia su propio código3. En un equipo UEFI, puede crear o modificar archivos de la partición del sistema EFI para ejecutar código malicioso a nivel de kernel3.

¿Qué busca conseguir?

Los rootkits, entre los que se cuentan los bootkits, suelen venir acompañados de otros programas maliciosos capaces de eludir los inicios de sesión locales, registrar contraseñas y pulsaciones de teclado, transferir archivos privados y capturar datos criptográficos1.

¿Basta con cifrar el disco?

El cifrado protege los datos de un equipo perdido o robado, incluso frente a una herramienta de ataque por software o al traslado del disco a otra máquina4. Microsoft precisa que BitLocker protege por defecto contra la instalación de un bootkit por una persona presente físicamente: el TPM observa la modificación y la clave no se libera2. El mismo documento señala que el modo «solo TPM» es más cómodo pero menos seguro que las opciones que exigen un segundo factor2.

¿Qué es un TPM?

Es un chip diseñado para ofrecer funciones básicas de seguridad, sobre todo en torno a las claves de cifrado. BitLocker vincula sus claves a él para comprobar que el equipo no se ha modificado mientras el sistema estaba fuera de línea2.

1En la piel del atacante1 min

El atacante dispone de poco tiempo y de acceso físico. Microsoft distingue dos perfiles. El primero es el atacante ocasional: no emplea métodos destructivos ni herramientas de análisis sofisticadas, y la forma del equipo (sin puerto externo capaz de acceso directo a la memoria, sin tornillos visibles, memoria soldada) limita sus opciones2. El segundo tiene conocimientos y acceso prolongado: abre la carcasa, suelda y utiliza hardware o software especializado2. En algunos sistemas, eludir el modo «solo TPM» puede exigir abrir la carcasa y soldar, a un coste razonable; eludir un TPM protegido con PIN cuesta más y obliga a adivinar el PIN2.

Existen varias vías. La primera modifica el sector de arranque o la partición EFI para que código hostil se ejecute antes que el sistema3. La segunda ataca el firmware (BIOS o UEFI): existen medios para sobrescribirlo, lo que puede dar a atacantes sofisticados una persistencia difícil de detectar5. La tercera añade hardware. MITRE señala que muchos equipos de pruebas de intrusión utilizan accesorios capaces de inyectar pulsaciones de teclado o de leer la memoria del kernel mediante acceso directo a memoria (DMA), y que las referencias públicas de uso por atacantes reales son escasas6.

2Lo que ve en la pantalla1 min

No se describe nada concreto. Las fuentes citadas aquí no describen ninguna pantalla falsa en particular. Sí dicen, en cambio, que un rootkit que arranca antes que el sistema puede ocultarse por completo1. La pantalla de introducción del PIN de BitLocker es en sí misma una etapa anterior a Windows4, es decir, en el mismo punto donde se ejecutaría un código malicioso de arranque.

Aun así, hay una pista: con el modo «solo TPM», si BitLocker detecta un cambio en la configuración del BIOS o de la UEFI, en archivos críticos de arranque o en la configuración de arranque, pasa al modo de recuperación y pide la contraseña de recuperación2. Una pantalla de recuperación inesperada merece, por tanto, una comunicación al servicio informático. Lo mismo ocurre con un accesorio desconocido conectado al equipo, ya que un accesorio así puede inyectar pulsaciones de teclado6.

3Bajo el capóEquipos de TI2 min

Al arrancar, el firmware busca primero el cargador del sistema. Sin Secure Boot, el PC ejecuta el que está en el disco y no puede saber si pertenece a un sistema de confianza o a un rootkit1. Con Secure Boot, el firmware verifica la firma del cargador antes de lanzarlo1.

Los bootkits sustituyen o modifican ese cargador. En un BIOS clásico, tocan el Master Boot Record (MBR) o el Volume Boot Record (VBR); en una UEFI, crean o modifican archivos de la partición EFI3. Los rootkits de firmware sobrescriben el BIOS u otro firmware de hardware para arrancar antes que Windows1. El NIST incluye la modificación no autorizada del BIOS entre las amenazas importantes, debido a la posición privilegiada del BIOS en la arquitectura del PC7.

Las defensas forman una cadena. Secure Boot solo lanza cargadores de confianza, Trusted Boot verifica después cada componente del arranque y Measured Boot registra el arranque para que un servidor de confianza evalúe el estado del PC1. BitLocker se apoya en la medición del TPM: un firmware EFI, una aplicación de arranque o un cargador no autorizados no pueden ejecutarse ni obtener la clave2. Si el atacante modifica la base de datos de configuración de arranque para apuntar a un sistema señuelo, BitLocker comprueba criptográficamente que el destinatario de la clave es el sistema correcto2.

El PIN de arranque añade un segundo factor. BitLocker solo carga las claves en memoria una vez completada la autenticación previa al arranque, y el TPM limita los intentos repetidos para contrarrestar la fuerza bruta2. El PIN también ayuda frente a los ataques por puertos DMA y por remanencia de la memoria2.

4AutopsiasCasos reales2 min

Las fuentes citadas aquí no aportan ningún caso de hotel fechado. Citan ataques reales de la misma naturaleza, con la fecha de la referencia indicada en la página.

Hacking Team, 2015: un rootkit en el BIOS

MITRE cita un rootkit UEFI BIOS desarrollado por la empresa Hacking Team para mantener un software de acceso remoto en ciertos sistemas objetivo5. La referencia asociada es un artículo del 13 de julio de 20155.

LoJax: un rootkit UEFI observado en el mundo real (referencia de septiembre de 2018)

LoJax es un rootkit UEFI BIOS desplegado para mantener un software de acceso remoto en ciertos sistemas objetivo5. La referencia de MITRE es un artículo de ESET de septiembre de 2018 titulado «LOJAX First UEFI rootkit found in the wild, courtesy of the Sednit group»5.

DarkVishnya: hardware conectado in situ (referencia de diciembre de 2018)

DarkVishnya conectó físicamente un Bash Bunny, una Raspberry Pi, netbooks y ordenadores portátiles baratos en el entorno de una organización para acceder a su red local6. La referencia es un análisis del 6 de diciembre de 2018 sobre bancos atacados mediante conexión directa a la red local6.

WhisperGate, enero de 2022: un cargador de arranque desviado

WhisperGate sobrescribe el MBR con un componente de cargador que borra los discos duros y muestra una falsa petición de rescate al arrancar3. La mayoría de las referencias de MITRE sobre este caso son de enero de 2022, y una de febrero de 20223.

5Los buenos reflejos1 min
  • No deje el equipo solo.
  • Apáguelo por completo o póngalo en hibernación antes de alejarse. En suspensión simple, los programas y documentos permanecen en memoria y no se vuelve a pedir el PIN al reactivarlo; en hibernación, el disco queda bloqueado2.
  • Si su organización lo permite, utilice el cifrado con PIN de arranque. El modo «solo TPM» es el predeterminado y está pensado para el atacante ocasional; frente a un atacante con conocimientos y tiempo, Microsoft recomienda un TPM con PIN, la suspensión desactivada y un apagado o una hibernación antes de dejar el equipo2.
  • Mantenga Secure Boot activado: desactivarlo no protege contra los bootkits1. Microsoft recomienda además exigir una contraseña para modificar los ajustes del BIOS2.
  • A su regreso, si el equipo se comporta de otra manera (petición de recuperación, accesorio desconocido), comuníquelo al servicio informático antes de volver a conectarlo. Un bootkit se sitúa por debajo del sistema y puede dificultar una restauración completa3.

Ficha

Identificador
CP-089
Ala
1. Ataques y técnicas
Competencia Brain
Proteger los dispositivos (secure_devices)
Reflejo Brain
cr-056
Esquema
G3 · Corte anatómico
Idiomas
de, en, es, fr
Fuentes
7 fuentes verificadas el 3 de noviembre de 2026
Fuentes7 fuentes
  1. Microsoft, «Secure the Windows boot process». https://learn.microsoft.com/en-us/windows/security/operating-system-security/system-security/secure-the-windows-10-boot-process (consultado el 3 de noviembre de 2026)
  2. Microsoft, «BitLocker countermeasures». https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/countermeasures (consultado el 3 de noviembre de 2026)
  3. MITRE ATT&CK, «Pre-OS Boot: Bootkit, Sub-technique T1542.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1542/003/ (consultado el 3 de noviembre de 2026)
  4. Microsoft, «BitLocker Overview». https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/ (consultado el 3 de noviembre de 2026)
  5. MITRE ATT&CK, «Pre-OS Boot: System Firmware, Sub-technique T1542.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1542/001/ (consultado el 3 de noviembre de 2026)
  6. MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultado el 3 de noviembre de 2026)
  7. NIST, «SP 800-147B, BIOS Protection Guidelines for Servers», 28 de agosto de 2014. https://csrc.nist.gov/pubs/sp/800/147/b/final (consultado el 3 de noviembre de 2026)

Citar este artículo

Brain, «Evil Maid: el ordenador olvidado en el hotel», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/evil-maid-ordenador-hotel/

BibTeX 
@misc{brain_cp089_es_2026,
  author = {Brain},
  title = {Evil Maid: el ordenador olvidado en el hotel},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/es/articles/evil-maid-ordenador-hotel/},
  note = {CC BY 4.0}
}
Licencia CC BY 4.0