¿Qué pasa sin un firewall? La era de «infectarse con solo conectarse» y los 5 momentos en los que sigues expuesto

Sacas un PC nuevo de la caja y lo primero que tienes en mente es la seguridad ── así que vas a instalar tu antivirus y te dice: abre nuestra web en el navegador para activar tu licencia primero. Un momento. Salir a internet antes de que la protección esté instalada… ¿de verdad es seguro?

Si ese instante de duda te resulta familiar, no eres el único. Hay otros clásicos momentos de «¿estoy expuesto ahora mismo?»:

• En un PC recién estrenado, te piden abrir la web de activación antes de que el antivirus esté instalado. ¿Estoy desprotegido en este momento?
• Justo después de una reinstalación limpia del sistema, pasas un buen rato conectado descargando actualizaciones ── sin un solo parche de seguridad instalado todavía
• Acabas de mudarte y el router sigue en una caja, así que conectas el PC directamente al módem para tener internet
• En cuanto te unes al Wi-Fi gratuito de una cafetería o un hotel, tu portátil comparte red con completos desconocidos

Te adelantamos la respuesta: los dos primeros casos son esencialmente seguros hoy en día. Los dos últimos, según las circunstancias, son un riesgo real. Y la línea que los separa la traza tu firewall (el mecanismo que inspecciona el tráfico que llega desde fuera) ── junto con el router que tiene delante.

En este artículo recorreremos:

• Qué es realmente un firewall (§1)
• La era en la que «infectarse con solo conectarse» ocurría de verdad (§2)
• Por qué hoy estás a salvo ── las capas de la defensa en profundidad (§3)
• Los 5 momentos en los que tus defensas desaparecen (§4)
• Lo que un firewall no puede proteger (§5)
• En qué se diferencian los firewalls domésticos, corporativos y en la nube (§6)
• Cómo revisar tus defensas en 3 minutos (§7)

No hace falta ningún conocimiento previo de seguridad ── lo construiremos todo paso a paso.

1. ¿Qué es un firewall? Del muro real al puesto de control del tráfico

1-1. El nombre viene de un muro de verdad

«Firewall» (cortafuegos) es originalmente un término de arquitectura: un muro construido para impedir que un incendio se propague entre secciones de un edificio. Aunque la unidad vecina arda en llamas, el fuego no cruza el muro. La informática tomó prestado el nombre para una barrera con la misma misión ── pase lo que pase ahí fuera, el caos no se extiende al interior de tu red.

1-2. En la práctica, es un puesto de control con su reglamento

Dicho esto, un firewall real se comporta menos como un muro y más como un puesto de control. Se sitúa entre tu PC e internet, inspecciona cada pieza de tráfico que intenta pasar y la coteja con un reglamento antes de decidir si la deja pasar o la rechaza.

• «La respuesta a una página web que pediste» → pasa
• «Una petición de conexión que llegó de la nada, sin que nadie la pidiera» → bloqueada

1-3. Entrante vs. saliente ── la distinción sobre la que gira todo este artículo

Al puesto de control le importa la dirección del tráfico, y esta es la distinción más importante de todo el artículo:

• Tráfico entrante (el que viene hacia tu PC desde fuera): la dirección que el firewall vigila con más celo. Las peticiones de conexión que llegan cuando tú no pediste nada se bloquean por defecto
• Tráfico saliente (el que tu PC envía hacia fuera): abrir una web, una app que busca actualizaciones, etc. Se permite por defecto ── y las respuestas que vuelven también pasan, como «la continuación de una conversación que tú iniciaste»

«¿Es seguro abrir una web en el navegador?» ── la pregunta de la introducción queda casi respondida solo con esta distinción. Abrir una web es saliente. El puesto de control deja pasar correctamente las respuestas a las conversaciones que tú empezaste, mientras sigue parando a los visitantes no invitados.

1-4. Puertos ── las puertas numeradas detrás de tu dirección

En nuestro artículo sobre direcciones IP describimos la dirección IP como tu «dirección en la red». Resulta que detrás de esa dirección hay un nivel más de detalle: los puertos (puertas numeradas, del 0 al 65535, una por cada servicio que corre en tu PC).

Internet
     │
     ▼
┌─[ Puesto de control = Firewall ]───────────────────┐
│ Regla: solo admitir respuestas a conversaciones    │
│        que tú iniciaste                            │
└────────┬───────────────────────────────────────────┘
         ▼
   Tu PC (dirección = dirección IP)
   ├─ Puerta 443  ── el tráfico HTTPS de tu navegador
   ├─ Puerta 3389 ── Escritorio remoto (normalmente cerrada)
   └─ Puerta 135  ── servicios internos de Windows (nunca debería exponerse)

Y aquí está lo importante: de fábrica, tu PC mantiene varias puertas abiertas y a la escucha. Compartición de archivos, administración remota, mecanismos internos del sistema ── puertas pensadas para tu red doméstica o de oficina. ¿Qué pasa si esas puertas quedan expuestas directamente a internet? Esa es exactamente la pregunta que la historia respondió por nosotros, en el §2.

2. La era en la que «infectarse con solo conectarse» ocurría de verdad

2-1. Verano de 2003: los Windows de todo el mundo empiezan a reiniciarse solos

En agosto de 2003, un gusano llamado Blaster (un gusano es malware que se propaga por la red de forma totalmente autónoma) arrasó el planeta. Lo que hizo de Blaster algo impactante, incluso para los estándares de la época, fue su método:

• Sin correo, sin archivos adjuntos
• Sin errores del usuario, sin clics, sin acción alguna
• Disparaba código de ataque directamente contra una puerta que Windows dejaba abierta en cada máquina conectada (el servicio RPC, puerto 135)

Es decir, las máquinas se infectaban con solo estar conectadas. Peor aún: cada PC infectado pasaba al bando atacante y rociaba el mismo ataque contra direcciones IP al azar. Al año siguiente, 2004, un gusano llamado Sasser repitió la misma jugada contra otra puerta (el puerto 445), con resultados parecidos.

2-2. Cuando el «tiempo de supervivencia» se medía en minutos

Los investigadores de seguridad de la época medían algo llamado «tiempo de supervivencia»: cuánto aguantaba un Windows sin protección conectado directamente a internet antes de que llegara el primer ataque. En los estudios de mediados de los 2000, la respuesta era de minutos a decenas de minutos. Y no porque alguien te tuviera en el punto de mira ── sino porque hordas de máquinas infectadas barrían mecánicamente todas las direcciones IP, así que tu turno siempre llegaba en cuestión de minutos.

1. 1Conexión directaUn PC sin protección recibe una dirección IP pública.
2. 2Llega el escaneoLas máquinas infectadas que barren todas las IP alcanzan la tuya en minutos.
3. 3Encuentran una puerta abiertaDescubren los puertos 135/445 y otras puertas siempre abiertas.
4. 4Envío del exploitLanzan contra la puerta datos diseñados para abusar de un fallo del servicio.
5. 5Infección y propagaciónTu PC queda secuestrado ── y empieza a barrer internet como atacante.

2-3. El antivirus no podía pararlo

«¿No te habría salvado un antivirus?» ── por desgracia, en aquel entonces, normalmente no. Los papeles eran distintos.

El antivirus de aquella época era sobre todo un extintor dentro de la casa: examinaba los archivos que llegaban y los programas que se ejecutaban. Pero Blaster no llegaba como archivo ── entraba como tráfico de red puro, directo a una puerta abierta. Un extintor de interior no puede detener un cóctel molotov lanzado por la ventana. Lo que hacía falta era un puesto de control delante de las puertas: un firewall.

2-4. El punto de inflexión ── Windows XP SP2 activa el firewall por defecto

En respuesta a aquellas epidemias, Microsoft hizo un cambio histórico en la gran actualización de 2004, Windows XP Service Pack 2: el Firewall de Windows, que existía pero venía desactivado de fábrica, pasó a venir activado.

El tráfico entrante no solicitado empezó a descartarse sin que el usuario moviera un dedo ── y ese único cambio en los valores por defecto hundió el modelo de negocio de «infectarse con solo conectarse». Desde entonces, tanto en Windows como en macOS, el firewall no es algo que se instala. Es algo que ya está funcionando.

3. Por qué hoy estás a salvo ── defensa en profundidad

Hora de responder a las dudas de la introducción. Tu PC de hoy está protegido por lo que en la práctica son tres muros.

Internet
     │
     ▼
━━ Muro 1: tu router NAT ━━━━━━━━━━━━━━━━━━━━━━━
   El tráfico que empieza fuera no puede entrar, por diseño
     │
     ▼
━━ Muro 2: el firewall del sistema operativo ━━━━
   El tráfico entrante no solicitado se descarta (activado por defecto)
     │
     ▼
   Las aplicaciones de tu PC
     ▲
━━ Muro 3: el antivirus ━━━━━━━━━━━━━━━━━━━━━━━━
   Vigila la ejecución de todo lo que logró pasar los muros

3-1. Muro 1: el router NAT ── una fortaleza accidental

La conexión doméstica a internet pasa casi siempre por un router. Los routers se apoyan en NAT (traducción de direcciones de red ── el truco que permite a todos los dispositivos de tu casa compartir una sola IP pública), y eso resulta ser una defensa potente.

Por la propia mecánica de NAT, una conexión que empieza desde fuera no le da al router ninguna pista de a qué dispositivo de tu casa va dirigida ── así que simplemente se descarta, destinatario desconocido. Solo las respuestas a conversaciones iniciadas desde dentro encuentran el camino de vuelta, guiadas por la tabla de traducción del router. El router NAT nunca se diseñó como producto de seguridad y, sin embargo, funciona como una barrera estructural contra el tráfico entrante.

3-2. Muro 2: el firewall del sistema operativo

Como vimos en el §2-4, tanto Windows (Firewall de Windows Defender) como macOS traen el firewall activado. Bloquea el tráfico entrante no solicitado que se cuele más allá del NAT ── y, esto es clave, también el que venga desde dentro de la misma red (del lado interior del muro NAT). Guarda ese «desde dentro de la misma red» en la memoria; será importante en el §4.

3-3. Muro 3: el antivirus

Cuando algo pasa el puesto de control de forma legítima ── un archivo que descargaste tú mismo, un adjunto de correo ── y resulta ser malicioso, la capa que lo detiene en el momento de ejecutarse es el antivirus. Windows incorpora Microsoft Defender de serie, también activo por defecto.

3-4. Así que sí ── abrir la web de activación es seguro

Respondamos de frente a la introducción. Abrir la página de activación de tu antivirus en un PC recién estrenado es:

• Tráfico saliente (una conversación que tú inicias ── §1-3), así que el puesto de control admite correctamente las respuestas
• Algo que ocurre mientras el router NAT (Muro 1) y el firewall del sistema (Muro 2) ya están activos, directos de fábrica
• Y en Windows, Microsoft Defender (Muro 3) también funciona desde el primer arranque

En resumen: incluso antes de instalar una suite de seguridad de terceros, no estás indefenso. La versión realmente peligrosa de esta escena fue la de 2003, cuando el puerto 135 quedaba expuesto a internet sin Muro 1 ni Muro 2. Un sistema recién reinstalado descargando actualizaciones se rige por la misma lógica ── los sistemas modernos levantan el firewall desde que termina la instalación, así que las defensas están en pie mientras bajan las actualizaciones.

4. Los 5 momentos en los que tus defensas desaparecen

Llegamos al corazón del asunto. Cada uno de los tres muros puede esfumarse en circunstancias concretas. Veamos qué muro desaparece en cada escenario, usando el modelo del §3.

4-1. Wi-Fi público ── desconocidos dentro del muro

Únete al Wi-Fi de una cafetería o un hotel y tu portátil pasa a compartir LAN (la red interior del router) con completos desconocidos. El router NAT bloquea el tráfico de «fuera» ── pero el tráfico entre dispositivos de la misma red interior no es «fuera». El Muro 1 no hace nada contra la persona de la mesa de al lado.

Aquí es donde el Muro 2 ── el firewall del sistema ── se gana el sueldo. Es exactamente la razón por la que Windows pregunta «¿quieres tratar esta red como pública?» cuando te conectas a un sitio nuevo.

4-2. Directo al módem ── sin muros, 2003 recreado

Justo después de una mudanza ── o durante una avería ── puede que puentees el router y conectes el PC directamente al módem pelado. Tu PC pasa a tener una IP pública sin nada delante. Estructuralmente, eso te coloca en el mismo terreno de juego que el «infectarse con solo conectarse» de 2003.

La buena noticia es que hoy el Muro 2, el firewall del sistema, está levantado por defecto, así que la infección instantánea ya no es el desenlace esperado. Aun así, estás en la línea de fuego directa si el sistema o algún servicio a la escucha tiene un fallo desconocido. Basta con volver a poner el router en medio para que el Muro 1 resucite, así que mejor que la conexión directa al módem dure lo mínimo.

4-3. VPS y servidores en la nube ── los bots del mundo llegan en minutos

Alquila un VPS (servidor privado virtual) para alojar una web y el cuadro cambia: no hay muro NAT y, como publicas para el mundo, abres puertas (80/443) a propósito.

Y aquí va una realidad que conviene conocer de antemano ── una IP pública empieza a recibir escaneos indiscriminados desde el primer día, y no paran jamás. El patrón típico es algo así:

(Ejemplo hipotético: tráfico no solicitado típico
 contra un servidor recién publicado)

 De inmediato   intentos de conexión al puerto 22 (SSH), varias IP extranjeras
 A los minutos  intentos de conexión al puerto 23 (Telnet)
 En unas horas  empiezan intentos de login como admin / root, intermitentes
 Horas después  intentos de conexión al puerto 3389 (Escritorio remoto)
 Para siempre   cientos o miles de intentos al día, indefinidamente

La historia del «tiempo de supervivencia» del §2 no es historia antigua ── en el mundo de los servidores públicos sigue siendo el día a día. Una vez más: nadie te apunta a ti en persona; simplemente hay bots barriendo mecánicamente todo el espacio de direcciones IP, 24/7. Por eso la regla de oro en un VPS es usar el firewall de tu proveedor de nube (grupos de seguridad) y el del sistema para cerrar todas las puertas salvo las que publicas deliberadamente (más en el §6).

4-4. Apertura de puertos, DMZ, UPnP ── agujeros que taladras tú

Montar un servidor de juego, o acceder a tu NAS doméstico desde fuera, a veces exige abrir puertos ── taladrar el Muro 1 para que una puerta concreta sea accesible desde internet.

El agujero en sí no es el mal. El problema es que la seguridad de una puerta abierta pasa a depender por completo de la calidad del software que responde tras ella. Un firmware de NAS antiguo, un servidor de juego que dejó de recibir actualizaciones ── si lo que hay detrás del agujero es vulnerable, acabas de reconstruir con tus propias manos el «puerto 135» del §2.

• El modo DMZ (reenviar todas las puertas a un dispositivo) no es un agujero ── es demoler el muro. Evítalo como norma
• UPnP (un mecanismo que permite a las apps pedir aperturas de puertos automáticamente) es cómodo, pero significa que el software de tu casa puede taladrar agujeros sin preguntarte. Revisa de vez en cuando el panel del router por si hay aperturas que no reconoces

4-5. «Desactivado un momento» ── y nunca reactivado

Cuando la red falla, «apaga el firewall un momento» es un paso clásico de diagnóstico. El peligro no es el paso en sí ── es volver a la vida normal con el firewall todavía apagado. Entra días después al Wi-Fi público de una cafetería (escenario 4-1) con el Muro 2 caído y habrás montado la peor combinación posible: desconocidos dentro del muro, y el puesto de control cerrado por vacaciones. La solución es pura disciplina: en cuanto acabe el diagnóstico, reactívalo.

5. Lo que un firewall no protege ── lo que tú mismo invitas a entrar

Hemos visto lo que defiende un firewall. Conocer lo que no puede defender es igual de importante ── y el punto ciego del puesto de control es asombrosamente consistente: jamás sospecha de nada que tú mismo hayas invitado a entrar.

• Webs de phishing y correos fraudulentos: abrir la web falsa es tráfico saliente tuyo. El puesto de control lo deja pasar
• Malware que descargaste y ejecutaste tú: pasa de forma legítima, como «invitado». Detenerlo es trabajo del Muro 3 ── el antivirus
• Exploits contra tu navegador o tus apps: datos maliciosos llegan por una puerta que tú abriste (la 443, por ejemplo), disfrazados de respuesta legítima. La defensa aquí son las actualizaciones de software

La conclusión de la tabla es simple. Firewall (control de entrada) + actualizaciones (sellar los fallos de las propias puertas) + antivirus (vigilancia interior) + tú (no invitar problemas a entrar) ── ninguna capa lo cubre todo, y cada una protege un lugar al que las demás no llegan. Esa es la idea de la «defensa en profundidad». Hábitos como no reutilizar contraseñas pertenecen a esa misma «capa humana» (mira nuestra guía de contraseñas, hashes y tokens).

6. Firewalls domésticos, corporativos y en la nube ── qué cambia

«Firewall» es una sola palabra que abarca varias cosas situadas en lugares distintos y con alcances distintos.

• El firewall personal (el Muro 2 del §3-2) brilla por su granularidad por aplicación: «esta app puede comunicarse, esta otra no»
• Un firewall perimetral corporativo se diferencia del doméstico sobre todo en que vigila también lo saliente ── comprueba si los PC de la oficina están enviando datos a escondidas hacia servidores extraños
• Los grupos de seguridad en la nube son el muro que los usuarios de VPS configuran por su cuenta. La práctica estándar es doblar la protección con una herramienta del sistema como ufw (un comando que simplifica la configuración del firewall de Linux): «cerrar todo salvo SSH y HTTPS» (para el lado servidor de esta historia, mira nuestra guía de patrones de seguridad en Python)

Un nombre más con el que te cruzarás: el WAF (Web Application Firewall), un puesto de control especializado en sitios web. Inspecciona el contenido del tráfico buscando patrones de ataque contra aplicaciones web ── nombre parecido, pero protege una capa distinta a la de los firewalls de este artículo.

7. Revisa tus defensas en 3 minutos

Terminemos convirtiendo todo lo anterior en una inspección rápida de tu propio equipo.

7-1. Windows ── confirma que el firewall está levantado

Configuración → Privacidad y seguridad → Seguridad de Windows → Firewall y protección de red: todas las redes deberían aparecer como «activado». También puedes comprobarlo por línea de comandos:

netsh advfirewall show allprofiles | findstr State

Si los tres perfiles (Dominio / Privado / Público) dicen ON, todo va bien. Aquí es donde también cazarías el «olvidé reactivarlo» del §4-5.

7-2. macOS

Ajustes del Sistema → Red → Firewall: confirma que está activado. Los permisos de entrada por aplicación se revisan en la misma pantalla.

7-3. Linux

sudo ufw status verbose

Confirma Status: active y que los puertos abiertos son exactamente los que pretendes.

7-4. El panel de tu router ── auditoría de agujeros

Tres cosas que revisar en la interfaz de administración del router:

• Reglas de apertura de puertos: ¿hay algo que no reconozcas?
• DMZ: confirma que está desactivada
• Puertos abiertos automáticamente vía UPnP: ¿hay apps acampadas ahí que no conozcas?

7-5. Mírate desde fuera

Los servicios de comprobación de puertos (una búsqueda rápida te dará varios) muestran cómo se ven tus puertas desde el lado de internet. Si todo aparece como «closed» o «stealth», los muros del §3 están cumpliendo.

Resumen ── la esencia en 4 líneas

1. Un firewall es un puesto de control que bloquea el tráfico que empieza fuera. Protege un lugar distinto al del antivirus, que vigila los archivos puertas adentro
2. En 2003, «minutos conectado = infectado» era la realidad. Windows XP SP2 (2004) activó el firewall por defecto y la era se acabó
3. Un hogar moderno funciona con defensa en profundidad: router NAT + firewall del SO + antivirus. Abrir el navegador en un PC nuevo no te deja indefenso
4. El peligro vive donde los muros desaparecen ── Wi-Fi público, conexión directa al módem, servidores públicos, apertura de puertos y firewalls que quedaron apagados. Si sabes qué muro falta, la contramedida rara vez es complicada

Para el sistema de direcciones en sí, mira ¿Qué es una dirección IP? ── y para cómo los nombres se asignan a esas direcciones, ¿Qué es DNS?. Juntos completan el cuadro de lo que ocurre entre tu PC e internet.

Preguntas frecuentes

P1. ¿Es peligroso abrir la web de activación antes de instalar el antivirus?

R. Hoy en día es esencialmente seguro. Abrir una web es tráfico saliente ── una conversación que inicias tú ── y el firewall admite correctamente las respuestas. Mientras tanto, el router NAT, el firewall del sistema y (en Windows) Microsoft Defender están activos desde que enciendes el equipo. Lo que merece tu atención no es la dirección del tráfico sino el destino: asegúrate de que es la web genuina del fabricante y no dejes que un anuncio en los resultados de búsqueda te desvíe a una falsificación.

P2. ¿Basta con el firewall integrado de Windows o necesito uno de terceros?

R. Para la defensa entrante ── el trabajo principal ── el integrado basta: activado por defecto, actualizado automáticamente y con control por aplicación. Lo que añaden las suites de terceros vive en otras capas: visibilidad saliente (qué app habla con qué servidor), protección antiphishing, etc. Como mínimo, no necesitas comprar una porque «el firewall integrado tiene agujeros». No los tiene.

P3. Si tengo firewall, ¿puedo saltarme el antivirus?

R. No. Como muestra la tabla del §5, un firewall no puede detener lo que tú mismo invitas a entrar ── archivos descargados, adjuntos de correo, phishing. Ese es territorio de la capa antivirus, y lo contrario es igual de cierto: son un reparto de tareas, no sustitutos. Ten en cuenta que Windows trae Microsoft Defender de serie, así que «no compré nada» no significa «sin protección».

P4. Mi móvil no parece tener firewall. ¿Pasa algo?

R. Los móviles siguen otra filosofía de diseño. iOS y Android ejecutan cada app en un sandbox (una caja aislada por aplicación) y, de entrada, apenas abren puertas que escuchen conexiones del exterior. Encima, las operadoras móviles te enrutan a través de su propio NAT, así que casi no existe un camino para que internet llegue directamente a tu teléfono. No es que falte el puesto de control ── es que el edificio se diseñó casi sin puertas que vigilar. En Wi-Fi público, aplica la misma precaución que con un PC.

P5. ¿Es peligroso abrir puertos para jugar online?

R. Hecho como «abre lo mínimo y mantén actualizado el software que hay detrás», es un riesgo gestionado. Lo que lo vuelve peligroso es tirar del modo DMZ (que lo reenvía todo), olvidar que la apertura existe y dejarla años, o aparcar detrás del agujero un dispositivo o servidor sin actualizaciones. Si dependes de UPnP, revisa de vez en cuando el panel del router y repasa la lista de puertos abiertos automáticamente.