Imagina una pequeña imprenta a las 18:40 de un viernes. Llega un correo del proveedor de papel al que la imprenta paga cada mes, dentro del mismo hilo del pedido del mes pasado. Dice «Factura actualizada adjunta, por favor procésela antes del fin de semana», y el adjunto se llama Invoice_4471.zip. El proveedor es real y el hilo es real. Pero este proveedor siempre ha enviado simples PDF, nadie en la imprenta esperaba una corrección, y el personal de contabilidad de esa empresa no suele escribir un viernes por la noche.
Lo correcto es dejar ese archivo cerrado hasta que alguien del proveedor lo confirme en un número de teléfono que la imprenta ya tenga. Como regla general, un adjunto es razonablemente seguro cuando lo esperabas, el remitente es de fiar y el tipo de archivo encaja con la historia. Merece una sospecha real cuando falla cualquiera de esas tres cosas, y el peligro suele empezar cuando ejecutas, extraes o «habilitas» algo, y no cuando lees el mensaje. Gran parte de este artículo trata de cómo hacer esos tres juicios deprisa y de cómo limitar el daño cuando no puedes.
Analizando la factura del viernes
El ejemplo anterior es útil porque el consejo habitual falla con él. «No abras archivos de desconocidos» no sirve cuando el remitente es alguien a quien pagas. Así que mira qué cambió en realidad. Cambió el formato, de PDF a un archivo comprimido. Cambió el momento. El mensaje empuja a actuar antes de un fin de semana, cuando nadie puede comprobarlo con facilidad. Cada una de estas cosas podría tener una explicación inocente, pero juntas bastan para parar y verificar.
Viene después la posibilidad en la que quizá el dueño de la imprenta no piense: que el mensaje haya salido de verdad del buzón del proveedor. Los delincuentes que entran en una cuenta suelen responder dentro de conversaciones existentes, porque un hilo antiguo transmite una confianza que un mensaje en frío no puede. Esto se llama secuestro de hilos. Significa que una dirección de remitente correcta y un asunto familiar no resuelven nada, y por eso la comprobación final tiene que hacerse fuera del correo.
Una secuencia sensata para el dueño sería:
- No respondas al mensaje para preguntar si es auténtico. Si el buzón está comprometido, la respuesta va a quien dirige la estafa.
- Busca el número del proveedor en una factura antigua en papel, en el contrato o en la lista de contactos del teléfono. No uses el número de la firma del correo.
- Haz una pregunta sencilla: «¿Han enviado esta noche una factura corregida?» Si la oficina está cerrada, la factura puede esperar al lunes. Un proveedor real aceptará un pago el lunes con mucha más facilidad que un delincuente.
- Si el proveedor tiene un portal en línea, entra escribiendo su dirección y mira si la factura aparece ahí.
- Si la respuesta es no, avisa al proveedor de que su buzón puede estar comprometido, y luego denuncia y elimina el mensaje.
El mismo ejemplo tiene una variante más silenciosa que ningún escáner detectaría. El adjunto podría ser un PDF limpio y corriente de una factura perfectamente real con un dato alterado: la cuenta bancaria. No hay malware y el archivo es inofensivo para tu ordenador, pero el dinero igualmente va al lugar equivocado. Cualquier cambio en los datos de pago merece esa misma llamada telefónica, sea cual sea el formato del archivo.
Qué intenta hacer un adjunto dañino
Los adjuntos siguen siendo populares entre los atacantes por una razón sencilla. Los servicios de correo no pueden rechazar todos los archivos, porque la gente necesita intercambiar facturas, currículums, contratos y fotos, y el destinatario abre el archivo por decisión propia. Un archivo malicioso suele buscar uno de cuatro resultados, y saber cuál permite un formato determinado es casi toda la destreza.
- Ejecuta código directamente. Un programa o script arranca cuando haces doble clic y tiene los mismos permisos que tú.
- Convence a otra aplicación de ejecutar código, mediante macros, objetos incrustados o un fallo del software.
- Te envía a otro sitio. Un PDF o documento contiene solo un botón que lleva a una página de inicio de sesión falsa, así que el archivo puede estar limpio mientras que el ataque es el destino.
- Recoge lo que escribes. Un adjunto HTML se abre en tu navegador como una página local que imita una pantalla de inicio de sesión y envía tu contraseña a otra persona.
Una foto JPEG en un visor actualizado no puede hacer por sí sola ninguna de las tres primeras. Un archivo de acceso directo de Windows puede ejecutar una línea de comandos mostrando el icono de un documento. Esa diferencia entre formatos explica la tabla siguiente.
Tipos de archivo, ordenados por lo que pueden hacer
Las valoraciones suponen que el archivo vino de un remitente desconocido o inesperado. Son un juicio basado en lo que cada formato es capaz de hacer, y el contexto puede subir o bajar un archivo de nivel. Una hoja de cálculo .xlsm de tu contable en época de impuestos es normal. El mismo archivo de una dirección desconocida sobre una entrega fallida no lo es.
| Extensiones | Qué es | Riesgo | Por qué |
|---|---|---|---|
| .exe, .msi, .scr, .com, .pif | Programas e instaladores de Windows | Muy alto | Ejecutan código con tus permisos. Un «salvapantallas» .scr es un programa normal. |
| .js, .jse, .vbs, .vbe, .wsf, .hta, .ps1, .bat, .cmd | Scripts | Muy alto | Windows tiene intérpretes integrados para ellos. Un desconocido casi nunca tiene un buen motivo para enviar uno. |
| .lnk | Acceso directo de Windows | Muy alto | Puede lanzar un comando con argumentos tras un icono de apariencia inofensiva. |
| .iso, .img, .vhd, .vhdx | Imágenes de disco | Alto | Un doble clic las monta como una unidad, y se han usado para empaquetar programas y accesos directos. |
| .docm, .xlsm, .pptm, .xlam | Archivos de Office con macros habilitadas | Alto | La «m» significa que el archivo puede llevar macros VBA. Hay usos legítimos, pero son poco habituales en desconocidos. |
| .doc, .xls | Formatos antiguos de Office | Medio a alto | Pueden contener macros sin ninguna pista en el nombre, y tienen una larga historia de abusos. |
| .zip, .rar, .7z, .gz, .tar | Archivos comprimidos | Depende del contenido | Pueden contener cualquier cosa de esta tabla. Los cifrados no se pueden analizar. |
| .html, .htm, .svg | Páginas web e imágenes vectoriales | Medio a alto | Se abren en un navegador y pueden mostrar formularios de acceso falsos, ejecutar scripts o ensamblar un archivo al instante. |
| .one | Cuaderno de OneNote | Medio a alto | Se ha usado para esconder scripts tras un falso botón de «haz clic para ver». |
| Documento portátil | Bajo a medio | Sobre todo pasivo, pero puede contener enlaces, archivos incrustados y scripts. | |
| .docx, .xlsx, .pptx | Archivos modernos de Office | Bajo a medio | No pueden guardar macros VBA, pero pueden contener enlaces, referencias externas y objetos incrustados. |
| .jpg, .png, .gif, .webp | Imágenes de mapa de bits | Bajo | Datos pasivos. El riesgo es un fallo poco frecuente del visor, que las actualizaciones corrigen. |
| .txt, .csv | Texto y datos | Bajo, con una salvedad | El texto no puede ejecutarse solo, pero un CSV abierto en una hoja de cálculo puede contener fórmulas, así que rechaza los avisos para habilitar contenido externo. |
Los proveedores de correo hacen parte de esta clasificación por ti. Gmail, por ejemplo, rechaza una lista de tipos de archivo que incluye .exe, .js, .lnk y .iso, y también mira dentro de los archivos comprimidos cuando puede. Outlook también bloquea muchos tipos de programas y scripts. Por eso los delincuentes prefieren los formatos que los filtros tienen que dejar pasar, y por eso un contenedor inusual suele delatar más que un nombre claramente peligroso.
Cómo se esconde el tipo real de un archivo
Windows oculta las extensiones conocidas por defecto, lo que hace que el truco más antiguo siga funcionando. Un archivo llamado invoice.pdf.exe aparece como invoice.pdf. Desactiva esto una vez y se queda desactivado. En Windows 11, abre el Explorador de archivos y elige Ver, Mostrar, Extensiones de nombre de archivo. En Windows 10, es una casilla en la pestaña Vista. En un Mac, ve a Finder, Ajustes, Avanzado y marca Mostrar todas las extensiones de archivo.
Otros disfraces requieren más atención. Los nombres largos rellenados con espacios, como statement.pdf .js, empujan la terminación verdadera fuera de una columna estrecha. Un carácter de control Unicode, la anulación de derecha a izquierda (U+202E), puede invertir cómo se muestra el final de un nombre, de modo que un archivo que de verdad termina en .exe puede parecer que termina en .pdf. Los programas y los accesos directos también pueden llevar el icono que quieran, incluido el de un PDF o de Word, así que un icono no prueba nada.
El propio correo también puede mentir. Cada adjunto viene con un tipo de contenido declarado, como application/pdf, pero esa etiqueta la elige el remitente. Lo que ocurre en tu dispositivo depende del formato real y de la extensión del archivo. Así que revisa la columna Tipo o las Propiedades del archivo en Windows, Obtener información en un Mac, y la vista de detalles del administrador de archivos en un teléfono.
Documentos de Office y las dos barras de colores
Los archivos de Office merecen su propia sección porque están en todas partes y llevan décadas siendo objeto de abusos. Una macro es un pequeño programa escrito en Visual Basic para Aplicaciones, guardado dentro de un documento, que puede automatizar trabajo útil o descargar y arrancar otra cosa. El formato del archivo da una pista parcial: .docx y .xlsx no pueden guardar macros VBA, mientras que .docm y .xlsm sí, y los antiguos .doc y .xls también pueden hacerlo sin decirlo.
Cuando abres en Office para Windows un archivo de internet o de un correo, normalmente te encuentras con una de dos barras. La amarilla corresponde a la Vista protegida, que abre el documento en modo de solo lectura y restringido, y ofrece Habilitar edición. Mientras permaneces en la Vista protegida, el archivo está mucho más limitado en lo que puede hacer. Puedes leerlo, y para un documento que solo necesitas leer, no hay motivo para salir de ahí.
La roja es un aviso de seguridad. Microsoft cambió Office para Windows, con un despliegue que comenzó en 2022, de modo que las macros VBA en archivos de internet se bloquean por defecto en Word, Excel, PowerPoint, Access, Project, Publisher y Visio. El aviso dice que las macros se bloquearon porque el origen del archivo no es de confianza. Según la documentación de Microsoft, este cambio no cubre Office en un Mac, en Android o iOS, ni en la web, así que no des por hecho el mismo comportamiento en todas partes.
El bloqueo depende de la Marca de la Web (Mark of the Web), una etiqueta que Windows añade a los archivos procedentes de una ubicación no confiable, como una descarga del navegador o un adjunto de correo. Una persona puede quitar la etiqueta marcando Desbloquear en las Propiedades del archivo, y eso te da una clara señal de alarma. Si un documento o un correo «servicial» te dice que hagas clic con el botón derecho en el archivo, marques Desbloquear y lo vuelvas a abrir, te están llevando a saltarte la protección. Ciérralo.
Los atacantes respondieron con persuasión. Un documento trampa típico muestra una página borrosa y una línea como «Este documento se creó en una versión más reciente. Habilita la edición y el contenido para verlo». Ningún documento auténtico necesita macros solo para ser leído. Si el archivo viene de alguien a quien no puedes verificar, toma ese mensaje como la respuesta a tu pregunta de si es seguro.
La historia del gato y el ratón explica algunos de los formatos raros de la tabla. Las imágenes de disco se hicieron populares en parte porque los archivos dentro de una ISO no recibían la Marca de la Web, hasta que Microsoft lo corrigió en noviembre de 2022 (CVE-2022-41091). Después aumentó el abuso de los archivos de OneNote, con scripts y accesos directos incrustados tras botones falsos, y en 2023 Microsoft anunció que OneNote para Microsoft 365 y Office de venta al público bloquearían los archivos incrustados con extensiones peligrosas. Cada arreglo empuja a los atacantes al siguiente contenedor, así que un formato desconocido de un desconocido es motivo suficiente para detenerte.
PDF, páginas web e imágenes
La gran mayoría de los PDF son inofensivos, y el riesgo realista rara vez es un exploit ingenioso. Mucho más a menudo es un PDF de una página con un logotipo y un gran botón de «Ver documento seguro» que lleva a una página de inicio de sesión falsa. Un PDF también puede llevar sus propios archivos incrustados, que un visor puede ofrecer abrir, y puede contener JavaScript. Los lectores de PDF han tenido fallos de seguridad a lo largo de los años, así que mantén el tuyo actualizado. Abrir un PDF inesperado en el visor integrado de un navegador actual es una opción razonable por defecto, y si usas Adobe Acrobat Reader y rara vez necesitas scripts, puedes desmarcar Habilitar JavaScript de Acrobat en Edición, Preferencias, JavaScript. Un PDF que solo existe para decir «tu documento está listo, haz clic aquí» es una puerta, no un documento.
Los adjuntos HTML son peores de lo que parecen. Uno se abre en tu navegador como una página local y puede mostrar una copia perfecta de una pantalla de inicio de sesión con tu dirección de correo ya rellenada. Como en el mensaje nunca hubo una dirección web sospechosa, los escáneres de enlaces de tu servicio de correo puede que nunca vean ninguna. Un archivo HTML también puede construir un archivo dentro del navegador a partir de datos codificados y ofrecerlo como descarga, una técnica llamada HTML smuggling, que puede burlar los filtros que solo inspeccionan adjuntos. Ninguna empresa real necesita que inicies sesión desde un archivo adjunto a un correo. Trata cualquier página así como phishing, y entra en el servicio escribiendo su dirección.
Los archivos SVG parecen imágenes y se definen en XML, lo que significa que pueden incluir scripts y enlaces. En un visor de imágenes actúan como una imagen, mientras que en un navegador pueden actuar como una página web. Un SVG inesperado de un desconocido merece la misma duda que un archivo HTML.
Los archivos JPEG, PNG, GIF y WebP normales son datos pasivos, y el riesgo teórico de un fallo del visor es lo que corrigen las actualizaciones del sistema. El riesgo práctico es otro: una imagen puede ser simplemente un cebo, como una «captura» de una factura que te dice que llames a un número de teléfono. El archivo es seguro, y las instrucciones que contiene no lo son.
Archivos comprimidos: juzga el contenido, no el envoltorio
Un archivo ZIP no es seguro ni peligroso. Es exactamente tan seguro como lo que lleva dentro. Los archivos comprimidos convienen a los atacantes porque el mensaje solo muestra «documents.zip» mientras el tipo real del archivo sigue oculto, y porque un archivo comprimido dentro de otro, o un formato menos común, puede confundir a algunos escáneres.
El cifrado añade otro problema. Las herramientas de seguridad del correo no pueden mirar dentro de un archivo comprimido protegido con contraseña, y por eso un mensaje que contiene un archivo cifrado y su contraseña juntos es un patrón clásico. Piensa en qué logra ese arreglo: no ofrece ningún secreto, porque quien tiene el correo tiene la contraseña, y lo único que hace de forma fiable es cegar al escáner. Un remitente genuino que cifra un archivo normalmente comparte la contraseña por otra vía, como el teléfono o un chat aparte.
Si has verificado que el archivo comprimido debería existir y aun así quieres ver qué hay dentro:
- Abre el archivo para ver su lista de contenidos sin extraer nada. El Explorador de archivos de Windows y programas de compresión como 7-Zip pueden mostrar la lista. Un Mac normalmente lo descomprime por defecto al hacer doble clic, así que usa allí una herramienta de compresión.
- Lee cada nombre y extensión. Un solo
.lnk,.js,.exeo.isoen algo que se describió como papeleo zanja el asunto, así que elimina el archivo comprimido. - Comprueba que el contenido coincide con la historia. Una «guía en PDF» debería ser un PDF, no una carpeta con un acceso directo.
- Extrae únicamente el archivo concreto que necesitas y luego aplícale las mismas comprobaciones.
Comprobar al remitente, en breve
El archivo es la mitad del ataque, y la historia creíble que lo rodea es la otra mitad. Nuestra guía para detectar correos de phishing lo explica con detalle, así que aquí van las comprobaciones que más importan en los adjuntos.
Empieza por la dirección real, porque cualquiera puede poner cualquier cosa en el nombre visible. «Departamento de cuentas» podría ser billing@example-pay.example. En un ordenador, pasa el cursor por encima del nombre o haz clic en él, y en un teléfono, toca la línea del remitente. Fíjate en dominios con palabras añadidas, guiones o letras cambiadas («rn» haciéndose pasar por «m»), en direcciones de correo web gratuitas que dicen ser el departamento de facturación o el jurídico de una empresa, y en un dominio que no coincide con el sitio web que ya conoces.
Luego mira adónde iría una respuesta. Un mensaje puede venir de una dirección y mandar las respuestas a otra. Las listas de correo y los sistemas de tickets, y también los boletines a los que te suscribiste, a veces hacen esto por razones normales, pero una nota de aspecto personal sobre un pago urgente no debería.
La comprobación técnica lleva un minuto. En Gmail, abre el menú de tres puntos y elige Mostrar original. En Outlook en la web, usa Ver, Ver origen del mensaje. Busca spf=pass, dkim=pass y dmarc=pass. SPF enumera qué servidores pueden enviar en nombre de un dominio, DKIM es una firma criptográfica que demuestra que el dominio autorizó el mensaje y que no fue alterado, y DMARC vincula esos resultados con el dominio From visible y dice a los receptores qué hacer si falla. Lee los resultados en una sola dirección. Un fallo en un mensaje que dice venir de tu banco es una fuerte advertencia. Un resultado aprobado no hace seguro un mensaje, porque los delincuentes pueden registrar un dominio parecido y autenticarlo correctamente, y un buzón secuestrado supera todas las comprobaciones.
Eso deja la pregunta que ninguna cabecera puede responder: ¿encaja esto con una conversación real? Deberías poder decir que esperabas este archivo de esta persona sobre este asunto, y que contiene datos que puedes verificar en tu cuenta. La presión va en contra de eso. La urgencia, el secreto y el miedo («acciones legales», «no se lo digas a nadie», «cuenta cerrada hoy») junto con un archivo son el patrón habitual. En caso de duda, contacta con el remitente usando datos que ya tenías antes de que llegara este mensaje. Si la factura es real, también estará en tu cuenta.
Cuando debes abrir un archivo de alguien nuevo
A veces el archivo es todo el sentido: el currículum de un candidato, el primer presupuesto de un proveedor, una respuesta a algo que pusiste a la venta. El objetivo entonces es ver el contenido dándole al archivo el menor poder posible. Estas opciones van de menos a más esfuerzo, y la mayoría de la gente se detendrá después de la segunda o la tercera.
Pregúntate si necesitas abrirlo. Si el archivo es inesperado y la historia es genérica, borrar cuesta poco, porque los remitentes reales insisten.
Usa la vista previa de tu servicio de correo. Los servicios de correo web a menudo muestran los PDF, las imágenes y los documentos de Office en sus propios servidores, así que el archivo se muestra y no se ejecuta en tu dispositivo. Primero la vista previa, y descarga solo si es imprescindible. Este es el hábito más útil para quien recibe archivos de desconocidos por trabajo.
Abre los documentos en solo lectura. Permanecer en la Vista protegida, o abrir el archivo en una suite ofimática web, limita lo que puede hacer. No toques Habilitar edición ni Habilitar contenido.
Analízalo. En Windows puedes hacer clic con el botón derecho en un archivo guardado y analizarlo con Microsoft Defender, y otros productos de seguridad ofrecen lo mismo. Para un archivo que no contenga nada privado, un analizador en línea con varios motores como VirusTotal te da una segunda opinión. Los archivos que subes a servicios de este tipo pueden compartirse con empresas de seguridad e investigadores, así que nunca subas contratos, documentos de identidad, facturas ni nada confidencial. Un resultado limpio tampoco es una garantía, porque un archivo nuevo o personalizado puede que todavía no lo detecte nadie.
Pide otro formato. Un candidato real puede reenviar un currículum como un PDF normal. Un cliente puede pegar el texto en el cuerpo del correo. Pedirlo es gratis, y quien intenta entregar un archivo concreto tiende a resistirse.
Usa un entorno aislado para lo que sea inusual. Windows Sandbox está disponible en las ediciones Pro, Enterprise y Education de Windows, se activa mediante Activar o desactivar las características de Windows y requiere que la virtualización esté habilitada. Te da un escritorio desechable, y todo lo que hay dentro se descarta al cerrarlo. Aun así tiene acceso a la red por defecto a menos que lo desactives en un archivo de configuración, así que un archivo que se ejecute dentro puede llegar a internet, y no deberías iniciar sesión en nada desde allí. Una máquina virtual o un dispositivo de repuesto cumplen el mismo propósito.
Una prueba rápida antes del doble clic
Repásala cuando algo te dé mala espina. Dos o más respuestas preocupantes bastan para eliminar el mensaje o verificarlo antes.
- ¿Conozco a este remitente, y esperaba este archivo ahora?
- ¿La dirección real y el dominio coinciden con quien dicen ser?
- ¿Es este el tipo de archivo que esperaría para este asunto?
- ¿El archivo está dentro de un contenedor, sobre todo uno protegido con contraseña?
- ¿El mensaje presiona con urgencia, secreto, pagos o inicios de sesión?
- ¿El documento me pide habilitar la edición, el contenido o las macros?
- ¿Puedo confirmarlo antes por un canal aparte?
Los teléfonos y los Mac son distintos, no inmunes
Los programas y scripts de Windows simplemente no se ejecutan en iOS ni en Android, y los sistemas móviles confinan las apps con más rigidez que los sistemas de escritorio tradicionales. Eso elimina una gran clase de amenazas. Pero los teléfonos tienen sus propias debilidades, y el phishing funciona al menos igual de bien en una pantalla pequeña, donde las direcciones completas están ocultas y un botón de acceso falso se ve como cualquier otro.
En Android, el principal riesgo de archivo es el APK, un paquete de app enviado como adjunto. Solo se puede instalar si has permitido que la app que lo abrió instale apps desconocidas. Compruébalo en Ajustes, Apps, Acceso especial de apps, Instalar apps desconocidas, aunque la ruta exacta varía según el fabricante. Déjalo desactivado para tu app de correo y tu navegador, e instala apps solo desde tiendas oficiales. En iPhone y iPad, ojo con los perfiles de configuración, que pueden cambiar ajustes como la VPN y los certificados de confianza. Los perfiles instalados aparecen en Ajustes, General, VPN y gestión de dispositivos. No instales ninguno porque un correo te lo pida.
Las apps de correo en los teléfonos también tienden a ocultar la dirección completa del remitente y la extensión del archivo, así que tienes que tocar para verlas. Si un archivo parece importante y no puedes leer sus detalles con comodidad, espera a tener una pantalla más grande. Muy pocos adjuntos honestos no pueden esperar una hora.
Los Mac tienen su propia protección, Gatekeeper, que comprueba las apps descargadas antes de que se ejecuten por primera vez y avisa del software que no procede de un desarrollador identificado. Las instrucciones de las estafas a veces te dicen que te saltes ese aviso abriendo el archivo de otra manera o pegando un comando en la Terminal. Trata esas instrucciones igual que «Habilitar contenido» en un documento de Word. Ojo con los archivos .dmg, .pkg, .app y .command de desconocidos, que son los equivalentes en Mac de las primeras filas de la tabla.
Ajustes que cambian las probabilidades
Ninguno necesita herramientas especializadas. Recorrer esta lista una vez lleva lo que dura un descanso para el café, y la mayor parte nunca hay que repetirla.
| Ajuste | Dónde | En qué ayuda |
|---|---|---|
| Mostrar las extensiones de nombre de archivo | Menú Ver del Explorador de archivos; Ajustes del Finder, Avanzado | Dobles extensiones y archivos disfrazados |
| Actualizaciones automáticas | Ajustes del sistema y de la tienda de apps | Fallos conocidos en visores, navegadores y Office |
| Software de seguridad activado | Seguridad de Windows, o el producto que elijas | Malware conocido al guardar o abrir archivos |
| Vista protegida y bloqueo de macros | Office: Archivo, Opciones, Centro de confianza, Configuración del Centro de confianza (normalmente activados) | Documentos que ejecutan código sin que tú decidas |
| Bloquear la instalación de apps desconocidas | Android: Acceso especial de apps | Archivos APK recibidos por correo |
| Cuenta estándar, sin permisos de administrador, para el uso diario | Ajustes de cuentas del sistema | Que el malware consiga fácilmente derechos en todo el sistema |
| Inicio de sesión multifactor en las cuentas importantes | La página de seguridad de cada cuenta | Que alguien tome una cuenta tras robar la contraseña |
| Una dirección aparte para los registros | Una dirección secundaria, un alias o una bandeja temporal | Que tu bandeja principal se convierta en objetivo |
Adjuntos comunes y cómo suelen salir mal
Las situaciones siguientes son ejemplos de patrones que surgen a menudo. Lo que importa en cada una es la diferencia entre cómo suele llegar lo auténtico y lo que tienes delante.
| Lo que dicen | Cómo es lo auténtico | Qué debería detenerte | Qué hacer |
|---|---|---|---|
| Factura de una empresa que no usas | Tendrías una cuenta o un pedido | No hay relación, y a menudo es un archivo comprimido, un archivo HTML o un documento con macros | Elimínala |
| Factura de una empresa que sí usas | Visible en tu cuenta, en el formato habitual | Formato nuevo, datos bancarios nuevos, momento extraño | Entra directamente o llama a un número conocido |
| «Vista previa» de un documento compartido | Un enlace del servicio de archivos compartidos, que se abre donde ya has iniciado sesión | Un archivo HTML adjunto con una página de inicio de sesión | Entra tú mismo en el servicio y busca el archivo compartido |
| Currículum o portafolio | Un PDF o un documento estándar | Un archivo comprimido, un documento con macros o un enlace a un sitio de descargas raro | Míralo en vista previa y pide un formato estándar |
| Aviso de buzón de voz o de fax | Muchos sistemas telefónicos envían un archivo de audio como WAV o MP3 | HTML, un archivo comprimido o un programa | Revisa el portal de tu sistema telefónico |
| Archivo urgente de tu «jefe» | Canales normales y tono normal | Secreto, prisa, una petición de pago | Confirma por teléfono o en persona |
| Adjunto nuevo en un hilo antiguo | Escrito con la voz de la persona y sobre el tema | Un «ver adjunto» genérico, un tipo de archivo que nunca envían | Contáctales por separado antes de abrirlo |
La fila del candidato merece unas palabras para quien contrata. Contratar es justo el caso en que se supone que gente desconocida te envía archivos, y por eso los atacantes lo imitan. Una norma publicada que diga «solo PDF, sin archivos comprimidos ni enlaces» no cuesta nada a los candidatos reales y elimina la mayor parte del riesgo antes de que llegue nada.
Para equipos pequeños
Si te encargas del correo de un equipo, algunos controles reducen cuánto depende del juicio de una sola persona en una tarde ajetreada. Configura el servicio de correo para bloquear de plano los tipos de alto riesgo, como programas y scripts, y retener para revisión los archivos comprimidos protegidos con contraseña que vengan de fuera. Publica SPF, DKIM y DMARC para tu propio dominio para que sea más difícil falsificar tu nombre, y lee los informes DMARC para ver quién envía en tu nombre. Un aviso visible en los mensajes de fuera de la organización ayuda a la gente a notar cuando «el jefe» escribe desde otro sitio.
Internamente, los enlaces compartidos de una plataforma de confianza son mejores que los adjuntos, porque entonces cualquier adjunto de fuera destaca. Acordad una regla escrita según la cual un cambio de datos bancarios siempre se confirma por teléfono, en un número que ya conste, no importa quién lo pida ni cuán urgente parezca. Y dad al personal una forma de denunciar con un clic el correo sospechoso, y dad las gracias a quien la use, incluidos los que ya hicieron clic. Alguien al que la vergüenza empuja al silencio le da a un intruso horas extra.
Si ya lo abriste
Las personas cuidadosas también cometen este error, normalmente cuando están cansadas u ocupadas. Los primeros minutos cuentan, y lo que hagas depende de lo que haya pasado en realidad.
Abriste una imagen o un PDF en un visor actualizado y no hiciste clic en nada. El riesgo realista es bajo. Haz un análisis y sigue adelante, atento a mensajes de seguimiento.
Ejecutaste algo, extrajiste algo o habilitaste macros. Sigue estos pasos en orden:
- Cierra el archivo y deja de contestar a sus avisos. No introduzcas ninguna contraseña.
- Apaga el wifi o desenchufa el cable de red. Eso puede impedir que el malware descargue más componentes o envíe datos al exterior.
- En un dispositivo de trabajo, denúncialo de inmediato desde otro dispositivo, y no intentes limpiarlo tú mismo. Las denuncias tempranas permiten que informática o el personal de seguridad contengan el problema antes de que se extienda.
- Haz un análisis completo. En Seguridad de Windows, ve a Protección antivirus y contra amenazas, Opciones de examen, donde un Examen sin conexión de Microsoft Defender reinicia el ordenador y analiza antes de que cargue Windows.
- Desde otro dispositivo limpio, cambia tus contraseñas importantes, empezando por la del correo, porque el correo puede restablecer todo lo demás. Después las de la banca y las de cualquier cosa en la que hayas iniciado sesión hace poco en la máquina afectada.
- Revisa los últimos inicios de sesión de tu cuenta de correo, las reglas de reenvío, los filtros y las apps conectadas. Los atacantes a veces añaden una regla oculta para seguir recibiendo tu correo después de que cambies la contraseña.
- Activa el inicio de sesión multifactor, o confirma que sigue activado, en las cuentas que importan.
Escribiste una contraseña en una página que abrió el adjunto. Trata esa contraseña como robada. Cámbiala en el sitio real escribiendo tú mismo la dirección, y cámbiala en todos los demás sitios donde la usaste.
Introdujiste los datos de una tarjeta. Llama a tu banco o al emisor de la tarjeta al número impreso en ella, y pídeles que la bloqueen.
El dispositivo sigue comportándose de forma extraña. Los programas nuevos, las herramientas de seguridad desactivadas y las redirecciones del navegador son señales de que un análisis no bastó. Restaurar desde una copia de seguridad que se sepa buena o reinstalar el sistema es la solución fiable, y por eso conservar una copia de seguridad sin conexión o con versiones forma parte, en la práctica, de la seguridad de los adjuntos.
Dónde encaja una bandeja temporal y dónde no
Todo lo anterior actúa después de que un mensaje arriesgado te haya llegado. La privacidad de la bandeja actúa antes, limitando quién puede llegar a tu dirección importante. Todo sitio que tenga tu dirección real puede filtrarla, venderla o sufrir una filtración. Reducir esa exposición significa menos remitentes desconocidos más adelante, lo que también hace más fácil notar el archivo inesperado ocasional. Nuestro artículo sobre cómo organizar tu correo personal explica cómo repartir las direcciones según el nivel de confianza.
Una bandeja temporal es una herramienta para el nivel más bajo. Si usas una para una descarga puntual o una sola pregunta en un foro, cuando las condiciones del sitio lo permitan, ese remitente nunca llega a conocer tu dirección principal. Nuestra guía sobre cómo registrarte sin tu correo real explica cuándo eso es apropiado y cuándo la dirección permanente es la opción correcta. Los desarrolladores también usan bandejas temporales para comprobar que su propia aplicación envía bien los adjuntos, sin llenar un buzón personal.
Ten claros los límites. Una dirección temporal protege tu dirección, no tu dispositivo. Una vez que descargas un archivo, todas las comprobaciones de este artículo se aplican por completo. Las bandejas temporales no son para contratos, documentos de identidad ni registros médicos o financieros, y no son adecuadas para la banca, los servicios del gobierno ni ninguna cuenta que necesites recuperar. Cualquiera que conozca o adivine una dirección puede abrir esa bandeja, así que una dirección aleatoria es la opción más segura, y nada confidencial debe ir allí.
En VookMail, hay una dirección lista en cuanto carga la página, sin registro. Los adjuntos funcionan, dentro de los límites de tamaño, y la bandeja muestra el mensaje y enumera los archivos sin ejecutar nada. Los archivos de programa habituales como .exe, .bat y .apk se rechazan, y los archivos comprimidos como .zip muestran un aviso de precaución, que es un buen recordatorio para aplicar los pasos para archivos comprimidos de arriba. Nuestros dominios reciben el correo a través de un proveedor de entrega de correo que nos lo reenvía por HTTPS. Los mensajes y los archivos adjuntos se eliminan después de aproximadamente un día, así que descarga lo que necesites sin demora y no trates la bandeja como almacenamiento. La política de privacidad y la página de metodología explican el tratamiento con más detalle.
El botón QR también puede ayudar con la precaución ante los adjuntos. Muestra tu dirección como un código que puedes escanear en otro dispositivo, donde Nuevo y la misma dirección y dominio abren esa bandeja, así que si prefieres mirar un archivo dudoso en un teléfono o en un dispositivo de repuesto y no en tu ordenador principal, puedes. Un archivo que descargaste a propósito debería seguir coincidiendo con lo que te prometieron. Si un sitio ofrecía una guía en PDF y recibiste un ZIP con un acceso directo, elimínalo.
Errores que conviene desaprender
- Reenviar un archivo sospechoso a un colega «para que lo mire». Eso extiende el riesgo. Usa en su lugar la vía de denuncia de tu organización.
- Extraer un archivo comprimido para ver qué hay dentro, cuando listar el contenido te lo habría dicho.
- Usar una contraseña facilitada en el mismo correo. Eso entrega al atacante lo que quería: un archivo que tu escáner nunca vio.
- Hacer clic en Habilitar edición por costumbre. Para un documento que solo necesitas leer, no hay nada que ganar.
- Tratar un análisis limpio como una prueba. Significa que ningún escáner reconoció el archivo hoy.
- Subir archivos confidenciales a escáneres públicos, que pueden compartir datos privados con terceros.
- Retrasar las actualizaciones. Muchos exploits de adjuntos apuntan a fallos que ya están corregidos en las versiones actuales de Office, los lectores de PDF, los navegadores y los sistemas operativos.
- Guardar silencio tras un mal clic. En una cuenta de trabajo, una hora de silencio no ayuda a nadie salvo al atacante.
Preguntas que surgen a menudo
¿Se puede coger un virus solo por abrir un correo?
En una app de correo actualizada, es muy poco probable que abrir y leer un mensaje infecte un dispositivo. El peligro suele empezar cuando abres o ejecutas un adjunto, habilitas macros o haces clic en un enlace. Cargar imágenes sí puede decirle al remitente que abriste el mensaje, lo que es un problema de privacidad y no una infección.
¿El antivirus me protege de todos los adjuntos maliciosos?
No. Los antivirus y los filtros de correo detectan una gran parte de las amenazas conocidas, pero los archivos nuevos o personalizados pueden pasar, y una página de inicio de sesión falsa puede no contener ningún malware. Analizar es una capa más junto con comprobar al remitente, conocer los tipos de archivo, bloquear las macros y actualizar.
¿Debería fiarme de un adjunto porque viene de un amigo?
Fíate de la persona, y aun así revisa el mensaje. Las cuentas se secuestran, así que un archivo raro de un amigo con una nota inusualmente breve justifica un mensaje rápido para preguntarle si lo envió.
¿Es más seguro abrir un archivo sospechoso en el teléfono?
Puede serlo, en el caso de los programas de Windows, que no se ejecutarán allí. No sirve de nada contra las páginas de inicio de sesión falsas, y esa es la amenaza más probable en un PDF o un archivo HTML. Un teléfono es otro riesgo, y un dispositivo de repuesto o un entorno aislado es la mejor opción cuando quieres una separación real.
¿Es seguro recibir adjuntos en una bandeja temporal?
Recibirlos es igual que en cualquier bandeja, porque el servicio guarda y muestra el archivo y no lo ejecuta. Lo que importa es lo que pasa después de descargarlo. Aplica las mismas comprobaciones y mantén todo lo confidencial fuera de una bandeja que otros podrían abrir si adivinan la dirección.