• Las herramientas tipo “mouse mover” o “mouse jiggler” tienen usos legítimos, pero también pueden emplearse para evadir controles de seguridad o simular actividad.

• El Colegio recomienda a las organizaciones públicas y privadas gestionar su uso mediante políticas claras, controles técnicos proporcionales y evidencia verificable.

San José, Costa Rica, octubre de 2026. El Colegio de Profesionales en Informática y Computación (CPIC) pone a disposición de las organizaciones públicas y privadas una serie de recomendaciones técnicas sobre el uso de herramientas tipo “mouse mover” o “mouse jiggler”, aplicaciones o dispositivos que simulan movimientos del puntero para mantener activo un equipo de cómputo, con el fin de orientar su gestión desde una perspectiva técnica, ética y proporcional.

Estas herramientas, disponibles tanto en forma de software como de pequeños dispositivos físicos conectados por USB, automatizan movimientos del puntero y ciertas interacciones con el sistema operativo para evitar que el equipo entre en inactividad o que la sesión se bloquee. Pueden responder a necesidades operativas legítimas, como mantener activas pantallas informativas, presentaciones o procesos de larga duración, o facilitar labores de pruebas y soporte técnico. Por ello, no deben clasificarse automáticamente como software malicioso.

No obstante, su uso también conlleva riesgos. Mantener una sesión activa sin supervisión puede exponer información y sistemas a accesos no autorizados, y estas herramientas pueden emplearse para evadir políticas de bloqueo de sesión o para simular actividad frente a mecanismos de monitoreo. El CPIC señala que su utilización deliberada con esos fines no es justificable y se aparta de los principios de ética y responsabilidad que deben orientar el uso de los recursos tecnológicos.

Ante la detección de una herramienta de este tipo, el Colegio recomienda diferenciar entre su presencia, su instalación, su ejecución y la finalidad de su uso. Su sola presencia en un equipo no constituye, por sí misma, prueba de una conducta irregular; su valoración debe hacerse a la luz de las políticas internas, las demás disposiciones aplicables y la evidencia técnica disponible, como la fecha y el mecanismo de instalación, la cuenta involucrada, los privilegios utilizados y los registros de ejecución. Una cuenta de usuario asociada a una instalación tampoco identifica necesariamente a la persona que la realizó, en particular cuando existen cuentas compartidas, procesos automatizados o mecanismos de administración remota.

Asimismo, recomienda que las áreas de tecnologías de información documenten las condiciones técnicas vigentes durante el período analizado, como las restricciones de instalación, los privilegios de las personas usuarias y la habilitación de tiendas de aplicaciones. En ese análisis conviene distinguir entre la capacidad técnica y la autorización: contar con privilegios para instalar una aplicación no implica que exista autorización institucional para hacerlo.

El Colegio advierte, además, que los movimientos del puntero, el tiempo en sesión u otros registros de actividad en un equipo son indicadores limitados y no reflejan, por sí solos, la productividad de una persona. Su interpretación debe complementarse con la valoración de las funciones, responsabilidades y resultados esperados de cada puesto, conforme a los mecanismos propios de cada organización.

Cuando se identifique un riesgo real, el CPIC recomienda adoptar medidas técnicas proporcionales: preservar la evidencia digital garantizando su integridad, trazabilidad y cadena de custodia, especialmente cuando los hallazgos puedan tener efectos en procesos internos; desinstalar o bloquear las aplicaciones no autorizadas; implementar mecanismos de control de aplicaciones y de dispositivos periféricos; aplicar el principio de mínimo privilegio; configurar el bloqueo automático de sesiones, y fortalecer el registro y monitoreo de eventos. Estas medidas se sustentan en referentes internacionales como el NIST Cybersecurity Framework 2.0 y los CIS Controls v8.1, y cada organización debe valorarlas según su propio contexto tecnológico y normativo.