Cómo detectar un mouse jiggler sin espiar el teclado

Un mouse jiggler cuesta menos que un almuerzo, se conecta por USB y mantiene a una máquina en "activo" toda la tarde sin que nadie la toque. Se puede detectar sin registrar una sola tecla: lo que delata la simulación no es qué se escribe, sino el ritmo con que se escribe.

Si supervisas una flota, ya conoces la escena. El tablero dice que las ocho posiciones están activas. Los indicadores están en verde. Y sin embargo la cola crece, los tickets no bajan y el trabajo no aparece por ningún lado. Alguien está "presente" según el sistema y ausente según la realidad.

El problema no es que falte monitoreo. Es que el monitoreo tradicional mide lo más fácil de falsificar: el tiempo desde el último input. Cualquier cosa que mueva el cursor o repita una tecla reinicia ese contador. Y ese "cualquier cosa" hoy se compra en línea por unos pocos dólares.

Los tres patrones de actividad simulada

En la práctica, casi toda la evasión de inactividad cae en tres formas, y cada una deja una huella distinta:

El movedor de mouse (jiggler). Un dispositivo físico —o una almohadilla con el mouse encima— que empuja el cursor unos pocos píxeles cada cierto rato. Su firma: el cursor deriva dentro de un radio muy pequeño, sin un solo clic y sin una sola tecla, durante un buen rato.

La tecla trabada. Una moneda, un clip o una tapa de bolígrafo sobre una tecla. El teclado entra en auto-repetición y la máquina cree que alguien está escribiendo sin parar. Su firma: entra input en prácticamente todos los instantes medidos, mientras el cursor está muerto y nada se hace clic.

El cursor que vaga. El más sutil: el mouse se mueve —a veces bastante— pero nunca se clickea ni se escribe nada. Trabajo real produce un clic o una tecla cada pocos minutos; movimiento continuo sin ninguna interacción no.

Por qué el keylogging es la respuesta equivocada

La tentación obvia es grabar las pulsaciones. Si registras cada tecla, sabes si la persona está escribiendo de verdad. Resuelve el problema técnico y crea tres mucho peores.

Primero, el legal: en la mayoría de los marcos de protección de datos de LatAm y Europa, capturar el contenido de lo que una persona escribe es desproporcionado frente al objetivo de saber si está trabajando — y lo desproporcionado es justamente lo que vuelve ilegal un monitoreo que de otro modo sería legítimo. Segundo, el de seguridad: un registro de pulsaciones contiene, tarde o temprano, contraseñas y datos de clientes. Acabas de crear el archivo más peligroso de tu empresa para responder una pregunta de recursos humanos. Y tercero, el humano: el día que tu equipo se entere —y se va a enterar— pierdes toda la confianza que hacía viable la supervisión.

Nota: este artículo es informativo y no constituye asesoría legal. Antes de implementar cualquier política de monitoreo, consulta con un abogado laboralista de tu país. Ver también nuestra guía sobre si es legal monitorear las PCs de tus empleados y nuestros principios de monitoreo responsable.

La alternativa: medir el ritmo, no el contenido

Hay una señal que separa a un humano de un dispositivo sin mirar jamás qué tecla se presionó: la densidad del input.

La idea es simple. En vez de guardar las teclas, se cuenta qué proporción de los instantes medidos tuvo actividad de teclado. Un humano escribiendo rápido —aun a buen ritmo— deja huecos: entre palabras, entre frases, cuando piensa. Una tecla en auto-repetición no deja ninguno: llena esencialmente todos los instantes.

Eso es un número entre 0 y 1. No contiene texto, no contiene contraseñas, no contiene nada que puedas leer. Y es suficiente para distinguir a alguien que teclea de un objeto encima de una tecla.

Lo mismo aplica al cursor: la geometría del movimiento —qué tan lejos viaja, si está confinado a un radio mínimo, si alguna vez hay un clic— separa una deriva mecánica de una mano humana, sin registrar en qué se hizo clic ni qué se abrió.

El verdadero problema no es detectar: es no acusar en falso

Cualquiera puede escribir una regla que marque "cursor confinado". El problema es que también marcaría a la persona que está leyendo un contrato de 40 páginas, la que está en una llamada con la mano descansando en el mouse, o la que está viendo un video de capacitación.

Un falso positivo aquí no es un dato malo en un tablero: es una acusación contra un empleado. Por eso lo que importa no es el umbral, sino cuánto tiempo tiene que sostenerse el patrón antes de que valga la pena mirarlo.

Así es como lo maneja Argos: cada patrón tiene su propia barra de tiempo, y son deliberadamente largas. La tecla trabada necesita saturación casi total durante unos cuatro minutos seguidos. El movedor de mouse, dos minutos de deriva confinada sin un solo clic. El cursor que vaga —la señal más débil de las tres— necesita diez minutos de movimiento continuo, y se reinicia por completo en cuanto el cursor se queda quieto un momento, porque una persona presente se mueve a ráfagas con pausas en medio.

Un clic real, un movimiento amplio o una pausa natural borran el contador al instante. Es un diseño hecho para dejar pasar dudas, no para acumularlas.

Es un aviso de revisión, no un veredicto

Esto es lo más importante y donde más gente se equivoca al comprar una herramienta así.

Un patrón sostenido de actividad simulada no prueba que alguien esté haciendo trampa. Prueba que la máquina reportó actividad que no se comporta como actividad humana. Puede ser un jiggler. También puede ser un teclado defectuoso, un proceso automatizado legítimo o una sesión remota mal configurada.

Argos lo marca como aviso de revisión y lo muestra en la línea de tiempo del equipo, para que un supervisor lo mire con contexto: qué aplicación estaba abierta, qué pasó antes y después, si es la primera vez o el quinto día seguido. Esa conversación la tiene una persona, no un umbral.

Y conviene decir también lo que no detecta: un auto-clicker por software que envía clics y teclas reales al sistema operativo produce eventos indistinguibles de los de un humano en esta capa de análisis. Detectar input inyectado es otro problema, y cualquier proveedor que te prometa cazarlo todo con una casilla te está vendiendo humo.

Lo que esto te da en la práctica

Con los tres patrones cubiertos, el número que ves en el tablero vuelve a significar algo. "Ocho activos" quiere decir ocho personas trabajando, no ocho contadores de inactividad reiniciados por dispositivos de cinco dólares.

Y lo consigues sin un solo registro de pulsaciones, sin leer correos y sin nada que tengas que esconderle a tu equipo. De hecho, es al revés: es una política que puedes anunciar en voz alta —"medimos el ritmo del uso, nunca el contenido"— y que se sostiene sola cuando alguien pregunta.

Esa es la diferencia entre un monitoreo que tu equipo tolera y uno que termina en un conflicto laboral.

Ve la actividad real de tu flota

Argos detecta los tres patrones de actividad simulada, sin keylogging, con umbrales pensados para no señalar a quien solo está leyendo. Junto al timeline de presencia, el muro de pantallas y las alertas configurables, en una sola consola.

Ver la detección de presencia en la demo · Todas las funciones de monitoreo