¿Pegaste un comando en Terminal? Revisa tu Mac ahora.

1Qué hace la línea que pegaste

Desde finales de 2025, páginas falsas de herramientas de IA y anuncios de búsqueda del tipo «limpia tu Mac» piden a usuarios de Mac que abran Terminal y peguen una línea. Sophos rastreó tres campañas entre noviembre de 2025 y febrero de 2026 que instalaban así el ladrón de datos MacSync: la línea descarga un script, pide la contraseña de tu Mac y después se lleva datos del llavero, inicios de sesión guardados y frases de recuperación de billeteras de criptomonedas (The Hacker News, 16 de marzo de 2026). Microsoft describe los mismos señuelos para los ladrones Atomic (AMOS), MacSync y DigitStealer, a los que a menudo se llega desde anuncios de búsqueda (Security Affairs sobre el informe de Microsoft, 4 de febrero de 2026).

Por qué nada te avisó: macOS pregunta antes de abrir por primera vez software descargado de internet (Seguridad de la plataforma de Apple), y sabe que un archivo viene de internet por una marca de cuarentena que ponen los navegadores. Los archivos descargados con curl en Terminal pueden no recibir esa marca (MITRE ATT&CK T1553.001), y un script que se pasa directamente a bash nunca se abre como app, así que el aviso nunca aparece.

Estas líneas suelen parecerse a una de las siguientes, con una dirección web en medio:

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2Revisión 1: ítems de inicio y apps en segundo plano

Abre Ajustes del Sistema → General → Ítems de inicio y extensiones (en macOS 14 y anteriores: Ítems de inicio). Mira Abrir al iniciar sesión y Permitir en segundo plano.

Cualquier cosa que no reconozcas merece una mirada más atenta, sobre todo un ítem con un nombre raro, sin desarrollador o que apareció el día en que pegaste el comando. Desactivar un ítem en segundo plano impide que vuelva a arrancar; no lo borra.

3Revisión 2: launch agents y daemons

Los programas que arrancan solos dejan un pequeño archivo en una de tres carpetas. Esto los lista, los más recientes primero:

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

La mayoría de los nombres tienen la forma com.company.app.plist. Busca archivos con fecha cercana al día en que pegaste el comando, nombres que imitan a Apple (com.apple…) dentro de tu propia carpeta Library o nombres hechos de letras al azar. Para ver qué programa arranca un archivo, cambia NAME por su nombre:

plutil -p ~/Library/LaunchAgents/NAME.plist

4Revisión 3: los archivos de arranque de tu shell

Tu shell ejecuta estos archivos cada vez que se abre Terminal, así que un ladrón puede esconder ahí una línea. Esto muestra cuándo se cambió cada uno por última vez:

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

Si uno cambió un día en que no recuerdas haberlo editado, mira sus últimas líneas:

tail -n 20 ~/.zshrc

Las líneas que no escribiste tú y que mencionan curl, base64, osascript o una dirección web son un hallazgo.

5Revisión 4: lo que pegaste

Terminal guarda las líneas que ejecutaste. Esto muestra las últimas 30 que descargaron o decodificaron algo:

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6Revisión 5: apps que macOS no aceptaría

Gatekeeper, de macOS, puede decirte qué apps de tu carpeta Aplicaciones no aceptaría (sin firma de un desarrollador identificado o sin revisión de Apple):

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

Algunas apps antiguas o de código abierto aparecen aquí y no pasa nada. El hallazgo es una app que no recuerdas haber instalado. Haz lo mismo a ojo con tu carpeta Descargas, lo más reciente primero:

ls -lt ~/Downloads | head -n 20

7Revisión 6: acceso remoto y perfiles

Abre Ajustes del Sistema → General → Compartir. Compartir pantalla, Sesión remota, Gestión remota y Compartir archivos deberían estar desactivados salvo que los uses tú.

Luego abre Ajustes del Sistema → General → Gestión de dispositivos (en macOS más antiguos: Privacidad y seguridad → Perfiles). Un perfil que no instalaste puede hacer pasar tu navegación por el servidor de otra persona o confiar en sus certificados. Elimínalo solo si estás seguro de que no es de tu centro de estudios o de tu empresa.

8Revisión 7: quién habla con internet

Esto cuenta las conexiones abiertas a internet por programa:

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

Tu navegador, Mail, Mensajes e iCloud son normales. Un nombre que no conoces, o un ejecutor de scripts como osascript, python3 o curl con conexiones abiertas, merece una mirada. Para ver los programas que esperan conexiones de otros ordenadores:

lsof -nP -iTCP -sTCP:LISTEN

9Si encuentras algo

1. Desconéctate de la Wi-Fi y quita cualquier cable de red.
2. Desde otro dispositivo, cambia primero las contraseñas de tu Cuenta de Apple, tu correo y tu banco, cierra todas las demás sesiones y activa la autenticación de doble factor.
3. Da por perdida cualquier billetera de criptomonedas cuya frase de recuperación o claves estuvieran en este Mac. Crea una billetera nueva en un dispositivo limpio y mueve los fondos. Puede que un ladrón ya tenga la frase, y una transferencia no se puede deshacer. Consulta seguridad de billeteras de criptomonedas.
4. Elimina lo que encontraste: ciérralo en Monitor de Actividad, borra el archivo del launch agent y la app, y reinicia. Si no estás seguro de haberlo encontrado todo, haz una copia de tus documentos (no de tus apps) y borra el Mac: Ajustes del Sistema → General → Transferir o restablecer → Borrar contenidos y ajustes.
5. ¿Viste un aviso de que se bloqueó malware y se movió a la Papelera? Es XProtect, la protección integrada del Mac, eliminando un archivo que reconoció. Bien, pero revisa de dónde vino el archivo: el mismo sitio puede haber enviado más. Consulta qué hace la protección integrada del Mac.

10Antes de volver a pegar algo en Terminal

• Escribe tú la dirección del sitio; no sigas un anuncio ni un enlace de un chat.
• Lee la línea antes de pegarla. | sh, | bash, base64 y osascript significan que ejecuta algo.
• Ningún arreglo real para una web, un captcha o una descarga «rota» necesita Terminal.
• Si una línea pide tu contraseña, detente y pregúntate para qué la quiere.

11Preguntas

Me hackearon el Mac. ¿Qué hago primero?

Desconéctalo de internet y luego, desde otro dispositivo, cambia las contraseñas de tu Cuenta de Apple, tu correo y tu banco, y cierra todas las demás sesiones. Pasa las criptomonedas cuya frase de recuperación estuviera en el Mac a una billetera nueva creada en un dispositivo limpio. Después haz las revisiones de esta página o borra el Mac.

¿Cómo saber si mi Mac está hackeado ahora mismo?

Busca ítems de inicio o launch agents que no reconozcas, archivos del shell que no cambiaste, apps que macOS no aceptaría y programas desconocidos con conexiones a internet. Las peticiones de contraseña que no provocaste y los ajustes del navegador que cambiaron solos también son señales.

macOS dijo que bloqueó malware y lo movió a la Papelera. ¿Estoy a salvo?

Significa que XProtect reconoció un archivo malicioso conocido y lo eliminó antes de que se ejecutara. Revisa de dónde vino el archivo y haz las revisiones de arriba: el mismo sitio o correo puede haber entregado algo que XProtect no reconoció.

¿Es seguro pegar un comando en Terminal?

Solo si escribiste tú la dirección del sitio y sabes qué hace la línea. Nunca pegues una línea de un anuncio, una ventana emergente, una página de «verifica que eres humano» o un chat. Si pasa una descarga a sh o bash, decodifica base64 o pide tu contraseña, detente.

¿Tengo que borrar mi Mac?

Si no puedes identificar y eliminar lo que encontraste, o el Mac guardaba frases de recuperación o claves de mucho valor, borrarlo es la opción segura. Haz una copia de tus documentos, no de tus apps, y vuelve a iniciar sesión desde cero.