WDAGUtilityAccount: Para qué sirve esta cuenta de sistema en Windows 10 y 11 y cómo saber si es segura
Qué es WDAGUtilityAccount y para qué sirve
WDAGUtilityAccount es una cuenta de usuario integrada en los sistemas operativos Windows 10 y Windows 11, diseñada específicamente para dar soporte a la funcionalidad de Windows Defender Application Guard. Se trata de una cuenta administrada y utilizada exclusivamente por el sistema, no por un usuario humano. Aparece listada junto a otras cuentas del sistema como Administrador, Invitado o DefaultAccount cuando se ejecuta el comando net user en una ventana de símbolo del sistema.
El propósito fundamental de esta cuenta es proporcionar un entorno aislado y seguro para la ejecución de procesos vinculados a Application Guard. Windows Defender Application Guard es una característica de seguridad que permite abrir sitios web no confiables o documentos de Office dentro de un contenedor virtualizado, separado del sistema operativo principal y de los datos personales del usuario. De esta manera, cualquier código malicioso que pudiera ejecutarse en esa sesión de navegación queda confinado y no puede acceder al resto del equipo ni a la red corporativa.
WDAGUtilityAccount cumple su función en las ediciones Windows 10 Pro, Enterprise y Education, así como en Windows 11 en sus versiones equivalentes. Permanece en un estado inactivo y deshabilitado por defecto a menos que el usuario o el administrador del sistema activen explícitamente la característica Application Guard desde las características opcionales de Windows.
¿Te has topado con esta cuenta desconocida y quieres saber si supone un riesgo o si puedes eliminarla? A continuación resolvemos todas las dudas al respecto.
Qué necesitas saber antes de empezar
Antes de tomar cualquier decisión sobre WDAGUtilityAccount, es importante comprender que se trata de una cuenta de sistema y no de una cuenta de usuario convencional. No está asociada a ningún perfil de inicio de sesión visible en la pantalla de bienvenida, ni posee una carpeta de usuario en C:\Usuarios. Su existencia está ligada a una característica de seguridad avanzada que, aunque pueda estar desactivada, forma parte de la arquitectura de protección de las versiones modernas de Windows.
Cualquier modificación manual de esta cuenta, como un cambio de nombre o un intento de eliminación forzada, puede acarrear consecuencias imprevistas en la estabilidad de las funciones de seguridad del sistema. Si bien el impacto no afecta al uso cotidiano del escritorio o las aplicaciones de oficina, podría inutilizar la capacidad de activar Application Guard en el futuro sin necesidad de realizar una reparación del sistema operativo o una reinstalación de los componentes de Windows Defender.
La presencia de esta cuenta en equipos con Windows 10 Home es menos habitual, ya que dicha edición no incluye de forma nativa la funcionalidad completa de Application Guard. No obstante, ciertas actualizaciones del sistema o la instalación de software de virtualización específico pueden haber provocado su aparición en el listado de cuentas locales. En cualquier caso, su sola presencia en el sistema no supone una vulnerabilidad ni un riesgo de seguridad que deba preocuparte.
Cómo verificar el estado de WDAGUtilityAccount en Windows
Método 1: Usando el símbolo del sistema
- Escribe cmd en el cuadro de búsqueda de la barra de tareas.
- Haz clic derecho sobre Símbolo del sistema en los resultados y selecciona Ejecutar como administrador.
- En la ventana que se abre, escribe el comando
net usery pulsa la tecla Enter. - Revisa la lista de cuentas de usuario que aparece en pantalla. Si ves WDAGUtilityAccount, significa que la cuenta está presente en tu sistema.
Método 2: A través de la Administración de equipos
- Haz clic derecho sobre el botón de Inicio o pulsa el atajo Windows + X.
- Selecciona la opción Administración de equipos en el menú que se despliega.
- En el panel de navegación izquierdo, expande la sección Herramientas del sistema.
- Expande la carpeta Usuarios y grupos locales.
- Haz clic en la carpeta Usuarios.
- En el panel central, localiza la entrada WDAGUtilityAccount. Un icono con una pequeña flecha negra hacia abajo indica que la cuenta se encuentra actualmente deshabilitada.
Para verificar que la cuenta está correctamente identificada, basta con comprobar su presencia en la lista del comando net user o en la ventana de Administración de equipos. Si al hacer doble clic sobre la cuenta en la consola de administración observas que la casilla La cuenta está deshabilitada se encuentra marcada, el sistema está operando en su configuración predeterminada y segura.
Problemas frecuentes y cómo resolverlos
La cuenta WDAGUtilityAccount aparece habilitada sin haberla activado yo
Es poco común que la cuenta se active de forma espontánea. Si esto ocurre, suele deberse a que un administrador del sistema o una política de grupo han activado la característica Windows Defender Application Guard para proteger la navegación en entornos empresariales. Para revertirlo, puedes desactivar la característica accediendo a Panel de control > Programas > Activar o desactivar las características de Windows y desmarcando la casilla Windows Defender Application Guard. El sistema solicitará un reinicio y la cuenta volverá a su estado deshabilitado predeterminado.
Me pide permisos de WDAGUtilityAccount para eliminar un archivo o carpeta
Este es un síntoma clásico de que el archivo en cuestión se encuentra dentro de un contenedor aislado gestionado por Application Guard, o bien que los permisos NTFS del objeto han sido heredados de una ubicación especial del sistema. La causa más probable es que el archivo resida en una ruta como C:\Windows\System32\ o similar. La solución práctica es ejecutar el Explorador de archivos con permisos elevados o utilizar la herramienta de línea de comandos takeown desde un símbolo del sistema con privilegios de administrador para tomar posesión del archivo.
No encuentro la cuenta WDAGUtilityAccount en mi Windows 10 Home
En las ediciones Home de Windows 10 y Windows 11, la funcionalidad Application Guard no está soportada oficialmente. Por lo tanto, es normal que la cuenta WDAGUtilityAccount no se haya creado en el sistema. Su ausencia no indica ningún problema de funcionamiento ni una instalación incompleta del sistema operativo. Simplemente, tu edición de Windows no incluye los componentes de virtualización avanzada que requieren la existencia de dicha cuenta de servicio.
Consejos para sacar más partido a la seguridad de Windows
Aunque WDAGUtilityAccount en sí misma no requiere configuración adicional, su existencia te señala la disponibilidad de una potente capa de seguridad que quizás estés desaprovechando. Si tu equipo ejecuta Windows 11 Pro o Enterprise, activar Windows Defender Application Guard desde Activar o desactivar las características de Windows te permitirá abrir enlaces sospechosos o páginas web de dudosa reputación en una sesión de Microsoft Edge completamente aislada e invisible para el malware.
Además de Application Guard, el sistema de permisos de cuentas de servicio como WDAGUtilityAccount es un recordatorio de la importancia de no utilizar una cuenta con privilegios de Administrador para las tareas diarias. Mantener una cuenta de usuario estándar para tu actividad cotidiana y recurrir a la elevación de privilegios solo cuando sea estrictamente necesario reduce drásticamente la superficie de ataque frente a programas maliciosos que buscan modificar archivos críticos del sistema.
Por otro lado, si eres un usuario avanzado y te preocupa la integridad de las cuentas de tu sistema, es una buena práctica revisar periódicamente la lista de usuarios locales con el comando net user. Una revisión rápida te permite detectar la aparición de cuentas desconocidas que sí podrían ser un indicio de intrusión, a diferencia de las cuentas legítimas del sistema como DefaultAccount, Invitado o la propia WDAGUtilityAccount.
Por último, recuerda que las cuentas de sistema también se registran en los eventos de seguridad. Si te encuentras el ID de Evento 4720 (cuenta de usuario creada) haciendo referencia a WDAGUtilityAccount justo después de activar Application Guard, no es un fallo ni una brecha de seguridad. Es el comportamiento esperado del sistema al aprovisionar el entorno aislado de navegación, y el evento se registrará también con el ID 4722 cuando la cuenta se habilite para su uso temporal.
Compatibilidad con diferentes versiones de Windows
La cuenta WDAGUtilityAccount está presente de manera nativa en Windows 10 a partir de la versión 1709 (Fall Creators Update) en sus ediciones Pro, Enterprise y Education. También está integrada en todas las versiones públicas de Windows 11 para esas mismas ediciones empresariales y profesionales. En las ediciones Home de ambos sistemas operativos, esta cuenta no suele estar creada, ya que la característica de virtualización avanzada que la requiere no está disponible para esas SKU.
En cuanto a versiones anteriores como Windows 8.1 o Windows 7, esta cuenta no existe bajo ningún concepto. La tecnología de aislamiento de Application Guard se introdujo específicamente para el ecosistema de Windows 10. Si encuentras una cuenta con este nombre en un sistema operativo antiguo, sí deberías tratarla con extrema sospecha y realizar un análisis completo con un antivirus actualizado, ya que podría tratarse de un intento de suplantación.
En macOS, Linux o Android, el concepto de WDAGUtilityAccount no tiene un equivalente directo, ya que es una cuenta de servicio vinculada de manera exclusiva a la arquitectura de virtualización Hyper-V y a la tecnología de aislamiento de Microsoft Defender. En Linux existen cuentas de sistema como nobody o systemd-coredump que cumplen funciones análogas de segregación de privilegios, pero no guardan relación alguna con las herramientas de seguridad específicas de Windows.
Preguntas frecuentes
¿WDAGUtilityAccount funciona en Windows 10 Home y Windows 11 Home?
No, la funcionalidad Windows Defender Application Guard, y por extensión la cuenta de servicio WDAGUtilityAccount, no está disponible en las ediciones Home de Windows 10 y Windows 11. Esta característica está reservada para las ediciones Pro, Enterprise y Education. Si ves esta cuenta en un equipo con Windows Home, es probable que se haya creado manualmente por algún software de terceros o por un error en la actualización.
¿Necesito permisos de administrador para gestionar WDAGUtilityAccount?
Sí, para visualizar el estado de la cuenta en la herramienta Administración de equipos o para ejecutar el comando net user necesitas haber iniciado sesión con una cuenta que tenga privilegios de administrador local. Un usuario estándar no puede modificar ni ver las propiedades de las cuentas del sistema, lo cual es una medida de seguridad para proteger la integridad del sistema operativo.
¿Puedo usar WDAGUtilityAccount para iniciar sesión en Windows?
No, no es posible iniciar sesión en el escritorio de Windows con la cuenta WDAGUtilityAccount. Se trata de una cuenta de servicio interna que no tiene asignada una contraseña accesible para el usuario y que está configurada por el sistema para impedir el inicio de sesión interactivo o a través del escritorio remoto. Su único propósito es operar en segundo plano para Application Guard.
¿Es seguro eliminar la cuenta WDAGUtilityAccount con el comando net user?
Técnicamente, un administrador puede eliminar la cuenta ejecutando net user WDAGUtilityAccount /delete. Sin embargo, no es recomendable hacerlo. La eliminación manual de esta cuenta puede provocar errores en el Visor de eventos y, lo que es más importante, impedirá que la función Windows Defender Application Guard se active correctamente en el futuro a menos que se restaure el sistema o se reparen los componentes del sistema operativo.
¿Qué diferencia hay entre WDAGUtilityAccount y DefaultAccount?
Ambas son cuentas integradas del sistema, pero con propósitos muy distintos. WDAGUtilityAccount es específica para la virtualización de seguridad de Application Guard. En cambio, DefaultAccount es una cuenta de sistema genérica utilizada por procesos del kernel y por algunos servicios para ejecutarse en un contexto de seguridad limitado que no requiere interacción con el usuario. DefaultAccount existe en todas las ediciones de Windows 10 y 11, mientras que WDAGUtilityAccount depende de la edición y de la activación de características concretas.