De manera constante llegan a nuestra bandeja de entrada correos con archivos adjuntos que parecen facturas, currículums o documentos de trabajo. Algunas extensiones, sin embargo, convierten ese archivo en una puerta abierta para el malware en cuanto lo abrimos. Veamos cuáles son esas extensiones y qué podemos hacer para detectarlas antes de hacer doble clic.
El correo electrónico sigue siendo el vector de entrada favorito para el malware. Los filtros de los proveedores de correo bloquean buena parte de las amenazas conocidas, pero quienes lo distribuyen adaptan el formato del archivo para esquivarlos, recurriendo a extensiones que el sistema interpreta como instrucciones directas.
Ejecutables y scripts que se lanzan solos al abrirlos
Si un correo trae un adjunto terminado en .exe, .scr, .bat, .cmd, .vbs, .js o .wsf, estamos ante un código que Windows ejecuta en el momento en que hacemos doble clic. Un archivo .scr, por ejemplo, suele comportarse como un ejecutable disfrazado de protector de pantalla, y los scripts en Visual Basic (.vbs) o JavaScript (.js), pueden estar programados para descargar contenido adicional desde un servidor remoto en cuanto se abren.
También circulan archivos con extensión .hta, aplicaciones HTML que Windows ejecuta con permisos similares a los de un programa instalado, sin pedir la confirmación que sí exige un instalador tradicional. Un truco habitual consiste en nombrar el archivo como Factura_2024.pdf.exe, aprovechando que Windows oculta por defecto las extensiones conocidas y muestra solo la parte visible que interesa al remitente. Si veis un adjunto con dos extensiones seguidas, lo más prudente es no abrirlo y confirmar con el remitente por otro canal antes de arriesgaros.
Documentos de Office con macros y formatos heredados
Otro recurso habitual en la ingeniería social son los documentos de Office con macros habilitadas, reconocibles por las extensiones .docm y .xlsm. A diferencia de un .docx o un .xlsx estándar, estos archivos incluyen código VBA capaz de automatizar tareas dentro del propio documento, y también de instalar software no deseado si dejamos que se ejecute sin revisar antes su procedencia.
El correo suele pedirnos que habilitemos la edición o activemos el contenido para ver correctamente el documento, un mensaje pensado para que bajemos la guardia. Microsoft ha reforzado en los últimos años el bloqueo por defecto de las macros que llegan desde Internet, aunque quienes preparan estos correos siguen buscando fórmulas para saltarse esa barrera. Por otro lado, el formato .rtf, pese a su antigüedad, también ha aprovechado en ocasiones vulnerabilidades del procesador de textos para ejecutar código sin necesidad de macro alguna.
Conviene desconfiar de cualquier adjunto de Office que llegue de un remitente inesperado.
Archivos comprimidos y discos virtuales
Para evadir los filtros que escanean el contenido del correo, quienes distribuyen malware envuelven el archivo dañino en un contenedor. Los formatos .zip, .rar o .7z permiten disimular la naturaleza del contenido y, si se protegen con contraseña, dificultan el análisis automático que hacen los servidores de correo antes de entregarnos el mensaje.
El riesgo mayor, sin embargo, suele estar en los archivos de disco virtual como .iso o .img. Al hacer doble clic en un .iso, Windows lo monta como si fuera un disco físico insertado en la unidad, sin las advertencias de seguridad que sí aparecen al descargar algo directamente desde el navegador. Si dentro hay un acceso directo (.lnk) o un ejecutable, basta con abrirlo para poner en marcha la infección.
También conviene vigilar los archivos .cab y .jar, formatos menos habituales en el uso diario pero que se han empleado en ataques dirigidos precisamente porque generan menos sospecha.
Cómo ver las extensiones antes de abrir cualquier adjunto del correo
El primer paso para protegernos pasa por configurar Windows para que muestre siempre la extensión completa de cada archivo. Si utilizamos Windows 10, basta con abrir el Explorador de archivos, ir a la pestaña Vista en la barra superior y marcar la casilla Extensiones de nombre de archivo.
| Extensión | Tipo de Archivo | Riesgo Principal | Ejemplo de Ataque |
|---|---|---|---|
| .exe, .scr | Ejecutable de Windows | Ejecuta código malicioso directamente al abrirse. | Factura_2024.pdf.exe (doble extensión) |
| .vbs, .js, .wsf | Script (Visual Basic, JavaScript) | Descarga y ejecuta malware adicional desde un servidor remoto. | INV-20192.vbs (descarga Backdoor.XWorm) |
| .docm, .xlsm | Documento de Office con Macros | Ejecuta código VBA malicioso al Habilitar contenido. | Falsa factura .docm que instala ransomware Locky. |
| .iso, .img | Imagen de Disco Virtual | Se monta como un disco real, ocultando ejecutables o scripts en su interior. | Archivo .iso que contiene un acceso directo (.lnk) malicioso. |
| .zip, .rar (con contraseña) | Archivo Comprimido Protegido | Evade el escaneo de seguridad del servidor de correo; el contenido malicioso se extrae localmente. | Supuesta factura confidencial en un .zip con contraseña. |
En Windows 11 el camino cambia ligeramente: hay que pulsar en el menú desplegable Ver, situar el cursor sobre Mostrar y activar ahí la misma opción, Extensiones de nombre de archivo. Así, un archivo que aparente ser un PDF revelará su verdadera identidad si en realidad termina en .exe o .scr, por ejemplo.