- Los PDF se usan en campañas de phishing y pueden esconder scripts, enlaces y descargas furtivas.
- Señuelos frecuentes: facturas, currículums, resultados médicos y documentos bancarios o oficiales.
- Indicadores de riesgo: archivos comprimidos, nombres tipo "documento.pdf.exe", remitentes dudosos y permisos inusuales.
- Medidas clave: analizar en VirusTotal, mantener lectores actualizados y actuar rápido si se abrió el archivo.
Los PDF están por todas partes: contratos, facturas, informes, entradas o manuales. Esa omnipresencia y su apariencia familiar hacen que mucha gente los abra sin pensárselo, un hábito que los atacantes explotan para colar código malicioso y estafas con más facilidad.
Firmas como ESET y Kaspersky llevan tiempo advirtiendo que los delincuentes se aprovechan de la confianza en este formato para disfrazar malware, robar datos o explotar fallos en lectores populares como Adobe Reader o Foxit. La recomendación es clara: revisar el origen, desconfiar de lo inesperado y aplicar controles antes de abrir nada.
Señuelos y técnicas de los atacantes
En campañas de correo malicioso, los PDF suelen llegar acompañados de mensajes que apelan a la prisa o la preocupación. Los más frecuentes son facturas falsas, currículums, resultados médicos y supuestas comunicaciones de bancos o administraciones.
- Facturas o deudas con nombres genéricos tipo «Factura.pdf».
- CV y propuestas laborales dirigidas a áreas de RR. HH. en empresas.
- Informes o análisis médicos que buscan generar alarma.
- Notificaciones bancarias u oficiales para reforzar la apariencia de legitimidad.
Detrás del documento, los atacantes incrustan scripts, enlaces invisibles y archivos adjuntos que se activan al abrir o al interactuar con el PDF. Pueden descargar troyanos, redirigir a webs falsas o ejecutar órdenes en segundo plano mediante mecanismos como OpenAction.
Además del engaño, muchos ataques aprovechan vulnerabilidades en los lectores para ejecutar código remoto. Se han observado campañas que encadenan el PDF con fallos conocidos (por ejemplo, CVE-2017-11882 en documentos Office incrustados) para ganar control del equipo.
El fenómeno no es menor: el Threat Report de ESET sitúa a los PDF en el sexto puesto del Top 10 de detecciones, mientras que la Agencia de Ciberseguridad de la UE (ENISA) ha constatado un aumento de más del 20% en phishing con documentos en el último año. En palabras de especialistas, estos archivos pasan por legítimos y se camuflan con notable eficacia en entornos personales y corporativos.
Investigadoras de seguridad, como Fabiana Ramírez Cuenca (ESET), subrayan que los agresores pulen los PDF para que no evidencien elementos maliciosos a simple vista, algo especialmente eficaz contra usuarios sin formación específica.
Señales para detectar un PDF peligroso
Antes de abrir un documento, conviene buscar “banderas rojas”. Estas pistas no garantizan al 100% que el archivo sea nocivo, pero ayudan a detener a tiempo una infección.
- Comprimidos en ZIP o RAR: se usan para evadir filtros de correo y algunos antivirus.
- Nombres engañosos o dobles extensiones («documento.pdf.exe», «Factura.pdf»): intentan ocultar ejecutables.
- Remitente sospechoso o dominio que no cuadra con la entidad que dice ser.
- Enlaces extraños dentro del PDF que llevan a sitios no seguros o poco familiares.
- Permisos inusuales: el archivo pide habilitar JavaScript, descargas externas o funciones adicionales.
- Errores burdos de redacción, tipografías raras o diseño inconsistente que delatan manipulación.
- Tamaño atípico: demasiado liviano para lo que promete o exageradamente grande sin motivo.
Si el envío no tiene lógica (no esperabas ese documento o no conoces al remitente), la medida más sensata es no abrirlo y verificar por una vía alternativa.
Medidas de protección y pasos si ya hiciste clic
Aunque ningún control es infalible, combinar hábitos prudentes con herramientas adecuadas reduce drásticamente el riesgo. Estas son prácticas recomendadas por ESET, Kaspersky e INCIBE.
- Pasa el archivo por VirusTotal para contrastarlo con múltiples motores antivirus.
- Activa la vista de extensiones en tu explorador de archivos y confirma que realmente es .pdf.
- Revisa nombre y tamaño; cambios raros o incongruencias pueden delatar manipulación.
- Evita abrir adjuntos comprimidos sospechosos, incluso si los envía un contacto conocido.
- Descarga desde sitios de confianza y evita copias pirata de libros o cursos en PDF.
- No habilites JavaScript ni funciones extra si el lector lo solicita para visualizar el contenido.
- Mantén actualizado tu lector de PDF y el sistema operativo para cerrar vulnerabilidades.
- Utiliza antivirus y antimalware confiables con protección en tiempo real.
- Considera lectores que no ejecuten programas externos, tal y como sugiere el INCIBE.
Si has abierto un PDF malicioso, desconecta el equipo de Internet, ejecuta un análisis completo con antimalware, revisa procesos y programas instalados y cambia cuanto antes las contraseñas críticas (especialmente banca y correo).
Casuística reciente y ataques dirigidos
Se han documentado campañas que usan PDF para distribuir troyanos bancarios como Grandoreiro, simulando proceder de organismos públicos e incluyendo enlaces que derivan en descargas nocivas. En el entorno empresarial, es habitual que los atacantes personalicen los señuelos según el área o el software de la empresa para aumentar la tasa de éxito.
La foto que dibujan los informes es clara: por su flexibilidad y ubicuidad, los PDF son un canal perfecto para el fraude. Con vigilancia en el correo, controles básicos y software al día, es posible cortar de raíz la mayoría de intentos y minimizar el impacto cuando algo se cuela.