Una factura que nadie estaba esperando, un supuesto comprobante de pago o un extracto bancario enviado por un contacto conocido pueden ser la puerta de entrada a un programa malicioso. Una campaña detectada en América Latina usa WhatsApp para distribuir archivos capaces de descargar componentes adicionales y facilitar el control remoto de computadores con Windows.
La alerta fue divulgada por el Equipo Global de Investigación y Análisis de Kaspersky. La empresa de ciberseguridad señala que los atacantes aprovechan cuentas de WhatsApp previamente comprometidas y envían los archivos mediante WhatsApp Web o WhatsApp Desktop.
Eso significa que el mensaje puede aparecer dentro de una conversación real y llevar el nombre y la fotografía de alguien conocido. La identidad del remitente, por sí sola, ya no basta para confiar.
¿Cómo funciona el engaño?
El ataque comienza con una estrategia de manipulación conocida como ingeniería social: en lugar de intentar vulnerar primero la tecnología, el delincuente busca que la propia víctima abra un archivo bajo presión, curiosidad o confianza.
- Llega un mensaje inesperado. Puede hablar de una factura pendiente, un pago recibido, un cobro, una deuda o un estado de cuenta.
- El remitente parece confiable. El mensaje puede salir de la cuenta comprometida de un conocido, cliente, proveedor o compañero de trabajo.
- El archivo se hace pasar por un documento normal. Su nombre intenta parecer administrativo o financiero, aunque en realidad puede ser un script o un ejecutable.
- La víctima lo abre en el computador. El código inicia una secuencia de instrucciones, crea archivos de trabajo y se conecta con infraestructura externa.
- Descarga otros componentes. Entre ellos puede haber una herramienta de administración remota que, usada sin autorización, permite al atacante controlar el equipo o realizar nuevas acciones.
“Cuando el archivo llega desde una cuenta conocida, la primera barrera de defensa del usuario, la desconfianza, se debilita”.
Fabio Assolini, investigador de seguridad de Kaspersky
Las herramientas de acceso remoto no son maliciosas por naturaleza: empresas y técnicos las utilizan legalmente para brindar soporte. El problema aparece cuando son instaladas a escondidas y quedan bajo el control de un tercero.
Recibir o descargar el archivo no siempre significa infección
Conviene diferenciar tres situaciones. Recibir el mensaje no infecta automáticamente el equipo. Descargar el archivo aumenta el riesgo, pero no necesariamente ejecuta el código. Abrir o ejecutar el archivo sí puede activar la cadena maliciosa descrita por los investigadores.
La campaña analizada está orientada principalmente a computadores con Windows usados con WhatsApp Web o Desktop. No debe confundirse con todos los fraudes que circulan por WhatsApp ni permite afirmar que cualquier factura enviada por la aplicación contiene malware.
Siete señales para desconfiar de una factura por WhatsApp
- No esperaba ninguna factura, pago, extracto o aviso de deuda.
- El mensaje es genérico y no explica qué operación originó el documento.
- El remitente pide abrirlo con urgencia o intenta generar miedo.
- La forma de escribir no coincide con la habitual del contacto.
- El nombre del archivo tiene dos extensiones o una terminación extraña.
- El supuesto documento termina en formatos ejecutables o de script como .vbs, .vbe, .exe, .bat, .cmd, .js o .ps1.
- El contacto no confirma el envío cuando se le pregunta por otro medio.
En Windows, las extensiones pueden permanecer ocultas. Para revisarlas, el usuario puede abrir el Explorador de archivos, entrar en Ver, elegir Mostrar y activar Extensiones de nombre de archivo. El nombre visible o el icono no garantizan que el contenido sea seguro.
Qué hacer antes de abrir el archivo
- No lo abra ni lo reenvíe. Tampoco responda usando únicamente la misma conversación.
- Confirme por un canal independiente. Llame al contacto, envíele un SMS o use un número que ya tenía guardado. Pregunte qué archivo envió y por qué.
- Compruebe la operación. Si se trata de un cobro, ingrese directamente al portal oficial del banco, proveedor o empresa; no use enlaces incluidos en el mensaje.
- Revise la extensión completa. Desconfíe de scripts y ejecutables, aunque el icono parezca de PDF, Word o una carpeta comprimida.
- Elimine el archivo si no puede verificarlo. Después, avise al contacto: su cuenta o su computador podrían estar comprometidos.
WhatsApp recomienda no abrir los archivos que su sistema marque como sospechosos y ofrece opciones para protegerse frente a archivos potencialmente peligrosos.
¿Ya lo abrió? Actúe en este orden
- Desconecte el computador de internet. Apague el Wi-Fi o retire el cable de red. Esto puede interrumpir nuevas descargas, órdenes remotas y la propagación hacia otros equipos.
- No inicie sesión en bancos, correo, redes ni plataformas de trabajo. Tampoco escriba contraseñas desde el equipo sospechoso.
- Informe al responsable de tecnología. Si es un computador empresarial, no intente resolverlo en silencio: el incidente podría afectar archivos compartidos u otros dispositivos.
- Ejecute un análisis de seguridad actualizado. En Windows puede abrir Seguridad de Windows, entrar en Protección contra virus y amenazas y seleccionar Opciones de examen. Microsoft recomienda un análisis sin conexión de Microsoft Defender cuando se sospecha exposición a malware.
- Cambie las contraseñas desde otro dispositivo limpio. Priorice correo electrónico, banca, WhatsApp, redes sociales y cuentas de trabajo. Active la autenticación en dos pasos.
- Revise las sesiones vinculadas. En WhatsApp, entre en Dispositivos vinculados y cierre cualquier sesión que no reconozca.
- Vigile movimientos y avisos de acceso. Si introdujo datos financieros o detecta operaciones desconocidas, comuníquese directamente con la entidad bancaria.
- Busque ayuda especializada si persisten las señales. Lentitud repentina, ventanas extrañas, programas desconocidos, antivirus desactivado o mensajes enviados sin autorización pueden indicar que el equipo sigue comprometido.
El Instituto Nacional de Ciberseguridad de España aconseja desconectar el dispositivo de la red y realizar un escaneo con una herramienta actualizada. La Comisión Federal de Comercio de Estados Unidos también recomienda dejar de ingresar información sensible, escanear el equipo, cambiar contraseñas y activar el doble factor.
Una precaución especial para negocios y áreas contables
Pequeños comercios, trabajadores independientes y equipos de contabilidad reciben facturas y comprobantes a diario, por lo que el señuelo puede confundirse con el trabajo rutinario. Una medida sencilla es establecer una regla interna: ningún archivo de cobro inesperado se abre sin confirmar antes con el proveedor mediante un dato de contacto conocido.
También conviene mantener Windows y el software de seguridad actualizados, restringir permisos de instalación, conservar copias de respaldo separadas y capacitar al personal para reconocer archivos ejecutables. Estas medidas no sustituyen la prevención, pero reducen el impacto si alguien comete un error.
Lo confirmado y lo que todavía no se sabe
Kaspersky informó que la amenaza fue detectada en América Latina y describió técnicamente su funcionamiento. Sin embargo, hasta la publicación de esta nota no se conocía una confirmación pública de Meta ni de una autoridad colombiana que estableciera el número de víctimas en el país.
La recomendación práctica es sencilla: si una factura o un comprobante llega sin aviso, incluso desde el WhatsApp de alguien conocido, hay que verificarlo por otra vía antes de abrirlo. Un minuto de comprobación puede evitar entregar el control del computador.
