No abrir adjuntos desconocidos: antes, averigua quién te los envía y por qué

Una «factura» que no recuerdas haber recibido. Un archivo comprimido con el texto «documentos solicitados». Un mensaje en el chat desde un número que no conoces: «aquí tienes las fotos de la cena». Los adjuntos llegan cada día, por correo electrónico y por mensajería, y casi siempre son inofensivos. Abrirlos es un gesto automático, hecho a menudo con prisa, entre una cosa y otra; por eso la costumbre de no abrir adjuntos desconocidos sin comprobar antes su origen merece un momento de atención.

Precisamente porque es automático, ese gesto es también una de las vías más sencillas por las que un programa dañino entra en un ordenador o en un móvil. Quien prepara estos mensajes no necesita forzar nada: le basta con que alguien, por curiosidad o por responsabilidad, haga doble clic. No ocurre porque quien abre el archivo sea despistado o no esté preparado: ocurre porque el adjunto está construido para parecer normal, y porque normalmente lo es de verdad.

Esta recomendación —la R17 del Framework Cyber Welfare— propone un hábito sencillo: un adjunto que no esperabas se queda cerrado hasta que sepas quién lo envía y por qué. No hacen falta conocimientos técnicos ni herramientas especiales. Hace falta una pequeña pausa, y saber qué hacer durante esa pausa.

Qué es esta recomendación

La recomendación R17 establece que un adjunto inesperado no se abre hasta que hayas comprobado quién lo ha enviado y con qué motivo. Un adjunto es un archivo que acompaña a un mensaje: un documento, una imagen, un archivo comprimido, un programa.

En la práctica, significa cuatro cosas:

• detenerte ante cada archivo que no habías pedido o que no esperabas;
• preguntarte quién te lo envía y por qué, fijándote en el contexto y no solo en el nombre del remitente;
• comprobarlo por otro canal: una llamada a un número que ya conoces, o un mensaje nuevo escrito por ti, no una respuesta al que has recibido;
• ante la duda, borrar el mensaje sin abrir el archivo.

Vale también cuando el remitente es una persona que conoces. Una cuenta de correo o de mensajería puede ser robada, es decir, quedar bajo el control de otra persona, que la usa para enviar adjuntos a toda la agenda de contactos. El nombre es el correcto, la foto de perfil también: lo único que cambia es quién está escribiendo de verdad. De esto trata la recomendación sobre los mensajes enviados en tu nombre, vista desde el lado de quien descubre que otra persona está usando su cuenta.

Lo que no es. No es una invitación a sospechar de cada archivo ni a dejar de usar los adjuntos: el trabajo, los estudios, la familia y los trámites administrativos están llenos de ellos, y así debe ser. Tampoco te pide que analices un archivo para saber si es peligroso: ese es un trabajo para herramientas especializadas, no para personas. La regla es más sencilla: no tienes que adivinar si un adjunto es bueno, solo tienes que saber de dónde viene antes de abrirlo.

Ámbito de aplicación. Se aplica a los adjuntos del correo electrónico, a los archivos recibidos en las aplicaciones de mensajería y en los grupos, a los que llegan por mensaje privado en una red social y a los enlaces que llevan a descargar un archivo compartido en internet. Afecta al ordenador de casa, al móvil, a la tableta y a los dispositivos del trabajo.

Por qué es importante no abrir adjuntos desconocidos

Un adjunto puede contener malware, es decir, un software malicioso diseñado para hacer algo sin tu consentimiento. Abrir el archivo suele ser el único paso que le falta para ponerse en marcha.

Lo que puede pasar después depende del tipo de programa, pero los resultados más habituales son pocos y se repiten:

• robo de información: contraseñas guardadas, documentos, fotos, datos de pago, conversaciones;
• control del dispositivo: alguien observa lo que haces o usa tu ordenador para otros fines;
• archivos bloqueados: en el caso del ransomware, un tipo de malware que deja los archivos ilegibles y pide un rescate para devolverlos;
• propagación a los contactos: tu cuenta se usa para enviar el mismo adjunto a amigos, compañeros de trabajo y clientes.

Los archivos que se usan con más frecuencia para engañar son pocos y reconocibles: documentos que piden «habilitar el contenido», archivos comprimidos (a veces protegidos con una contraseña escrita en el propio mensaje), archivos con una extensión escondida detrás de otra, como factura.pdf.exe, y accesos directos que parecen documentos pero ponen en marcha un programa. La extensión es la parte final del nombre del archivo, después del punto, e indica de qué tipo de archivo se trata. No hace falta aprenderlos de memoria: la regla del origen vale para todos.

Hay además un aspecto que hace la regla todavía más útil: muchos ataques aprovechan fallos que los fabricantes ya han corregido. Quien se ocupa de mantener el software actualizado cierra muchas de esas puertas, y un adjunto malicioso abierto por error encuentra menos margen. Las actualizaciones y la prudencia trabajan juntas; ninguna de las dos, por sí sola, basta siempre.

Un ejemplo concreto

Es jueves por la tarde. Llega un correo desde una dirección que parece la de una empresa de mensajería: «Entrega fallida. Adjuntamos el formulario para programarla de nuevo». Resulta que estás esperando un paquete, así que el mensaje parece tener sentido. El adjunto es un archivo comprimido.

Aquí la regla solo te pide que te detengas un momento. ¿Quién te lo envía? Una empresa de mensajería distinta de la que aparece en la confirmación del pedido. ¿Por qué? Por un formulario que normalmente no hace falta: las entregas se gestionan desde la web o la app de la tienda donde has comprado. En lugar de abrir el archivo, abres tú la web de la tienda, desde el marcador o escribiendo la dirección, y compruebas el estado del envío. El paquete figura en camino, sin ninguna incidencia. Borras el correo.

Al día siguiente llega un mensaje en el chat de una amiga: «¡Mira qué documento tan bonito!», con un archivo adjunto. Es su nombre, es su foto. Pero ella nunca escribe así, y nunca te ha mandado documentos. La llamas: no sabe nada, alguien le robó la cuenta la noche anterior. Gracias a tu llamada, se da cuenta antes de que el mensaje llegue a todos sus contactos.

En los dos casos no has tenido que averiguar qué había dentro del archivo. Ha bastado con preguntarte quién y por qué, y comprobarlo por otro lado.

Cuándo aplicarla

La regla vale siempre, pero hay situaciones en las que marca una diferencia evidente.

• Facturas, recibos y justificantes que no esperas. Están entre los pretextos más utilizados, porque tocan el dinero y empujan a comprobar enseguida.
• Avisos de envío y de entrega. Sobre todo en las épocas de compras frecuentes, cuando casi siempre hay algún paquete en camino.
• Mensajes que mencionan el banco o un servicio de pago. Aquí la regla se suma a la de desconfiar de los correos que se hacen pasar por el banco: ningún adjunto, ningún enlace, comprobación desde el canal oficial.
• Contactos conocidos con un tono raro. Un compañero que escribe con prisas, un familiar que manda «un documento importante» sin explicar de qué se trata.
• Chats de grupo y mensajes reenviados. Un archivo que pasa de grupo en grupo ha perdido su origen: ya nadie sabe quién lo creó.
• En el trabajo. Currículos, presupuestos, pedidos, reclamaciones de pago: el correo profesional recibe muchos adjuntos de personas desconocidas y es un objetivo frecuente.
• Plazos y notificaciones oficiales. Comunicaciones que parecen venir de organismos públicos, juzgados o de la administración tributaria, a menudo con un tono de urgencia.

Cómo aplicarla

No hace falta un procedimiento complicado. Hace falta una secuencia breve, siempre la misma.

1. Detente antes de abrir. Pregúntate: ¿estaba esperando este archivo? Si la respuesta es no, o si no estás seguro, no lo abras todavía.
2. Fíjate en quién escribe y en lo que pide. El nombre que se muestra se elige libremente: revisa la dirección completa y pregúntate si el mensaje tiene sentido viniendo de esa persona o de esa empresa. Desconfía de las peticiones de actuar deprisa.
3. Compruébalo por otro canal. Llama a un número que ya conozcas, o escribe un mensaje nuevo a la persona, sin responder al que has recibido. Si se trata de empresas y servicios, entra por tu cuenta en la web o en la app oficial y compruébalo allí.
4. Ante la duda, borra sin abrir. Si el adjunto era realmente importante, quien te lo mandó hará que te vuelva a llegar. Un documento auténtico puede esperar a que lo compruebes; uno falso solo espera un clic.
5. No habilites contenidos, macros ni la edición. Una macro es un pequeño programa incluido dentro de un documento. Si un archivo recién abierto te pide que habilites algo para «ver el contenido», ciérralo.
6. Mantén activas las protecciones del dispositivo. Actualizaciones automáticas, protección integrada del sistema operativo y filtros del correo activados. No sustituyen a la regla, pero reducen los daños si algo se escapa.
7. Informa en lugar de reenviar. Usa la función para marcar el correo como no deseado o sospechoso; en el trabajo, avisa a quien se ocupa de la informática. Si el adjunto llega de un contacto conocido, avísale por otro canal: puede que no sepa que le han robado la cuenta.

Errores comunes que conviene evitar

• Fiarse del nombre del remitente. El nombre que se muestra es lo más fácil de falsificar, y una cuenta robada enseña el nombre real de una persona real.
• Abrir «solo para ver qué es». Es exactamente el gesto que el adjunto está esperando. La curiosidad es humana; la comprobación lleva un minuto.
• Responder al mensaje para preguntar si es auténtico. Si la cuenta ha sido robada o el remitente es falso, contestará quien envió el adjunto, asegurándote que todo está en orden.
• Reenviar el archivo a alguien para pedir su opinión. Así se traslada el riesgo a otra persona, en lugar de eliminarlo.
• Fiarse del icono. El icono de un PDF o de una foto no garantiza que el archivo sea de verdad un PDF o una foto.
• Pensar que la protección del dispositivo es suficiente. Los filtros detienen mucho, pero no todo: los ataques nuevos pueden colarse antes de que se reconozcan.
• Dar por seguro un archivo porque llega por chat y no por correo. El canal cambia; el mecanismo sigue siendo el mismo.

Conexión con el Framework Cyber Welfare

La R17 convierte un gesto cotidiano, abrir un archivo, en una elección consciente: es uno de los comportamientos básicos que hacen de la seguridad un hábito y no una fuente de ansiedad.

Niveles de madurez digital.

• FL1 — Base. Abres los adjuntos en cuanto llegan, sobre todo si el remitente parece conocido. Es el punto de partida más habitual, no una culpa.
• FL2 — Iniciado. Te detienes ante los adjuntos inesperados y, ante la duda, los borras o pides confirmación al remitente por otro canal.
• FL3 — Autónomo. Compruebas de forma sistemática el origen, mantienes actualizados los dispositivos y nunca habilitas contenidos ni macros en los documentos recibidos.
• FL4 — Hábil. Reconoces los pretextos recurrentes, informas de los mensajes sospechosos y sabes cómo actuar si se abre un archivo por error.
• FL5 — Experto-Guía. Ayudas a tu familia, a tus compañeros y a tu organización a adoptar la misma regla, y a hablar de ello sin vergüenza cuando algo sale mal.

La R17 es el paso clave de FL1 a FL2, y sigue siendo un requisito activo en todos los niveles siguientes.

Cómo comprobar si la estás aplicando bien

Tres preguntas, para hacértelas con sinceridad.

1. ¿La última vez que recibí un adjunto que no esperaba, me detuve antes de abrirlo?
2. ¿Si un amigo me mandara un archivo con un mensaje extraño, sabría comprobarlo sin responder a ese mensaje?
3. ¿Me ha pasado alguna vez que he habilitado contenidos o macros en un documento recibido sin saber para qué servían?

Checklist rápida

• ☐ No abro adjuntos que no esperaba sin entender antes quién los envía y por qué
• ☐ Lo compruebo con el remitente por otro canal, no respondiendo al mensaje recibido
• ☐ Ante la duda, borro el mensaje sin abrir el archivo
• ☐ Aplico la misma regla al correo, a los chats, a los grupos y a los mensajes privados
• ☐ Nunca habilito contenidos ni macros en un documento recibido
• ☐ Las actualizaciones automáticas y la protección del sistema están activas en mis dispositivos

Si alguna casilla se queda vacía, ya tienes tu próximo paso. Si quieres una medida más estructurada de tu nivel, puedes hacer la autoevaluación de la resiliencia digital.

Conclusión

Abrir un adjunto es un gesto rápido, y es precisamente esa rapidez lo que se aprovecha. Un archivo dañino puede robar información, bloquear documentos o usar tu cuenta para llegar a otras personas, y puede venir incluso de un contacto conocido.

La regla no te pide que te conviertas en experto en archivos: se trata de no abrir adjuntos desconocidos, es decir, un adjunto inesperado se queda cerrado hasta que sepas quién lo envía y por qué. Se comprueba por otro canal, no se habilitan contenidos, se mantienen actualizados los dispositivos y, ante la duda, se borra.

Aquí la seguridad no es desconfianza hacia los demás. Es la libertad de no tener que adivinar: sabes qué hacer cada vez, y lo haces con calma.

Pregunta para reflexionar. ¿Cuántos de los adjuntos que has abierto en el último mes los estabas esperando de verdad?

Profundiza en esta recomendación

Esta recomendación es el eje de una unidad de contenidos. Cada artículo profundiza en un aspecto distinto.

• Impacto de los adjuntos infectados — qué se ve afectado, en términos de confidencialidad, integridad y disponibilidad de los datos y de los dispositivos
• Consecuencias de abrir un adjunto malicioso — los efectos concretos en el plano práctico, económico, legal, reputacional y personal
• Qué hacer si abriste un adjunto sospechoso — las medidas de mitigación, por orden de prioridad
• Señales de un adjunto peligroso — los indicadores que conviene observar antes y después de abrirlo, y lo que significan
• Cómo se analizan los adjuntos — las herramientas de control disponibles, sus ventajas y sus límites
• Malware en adjuntos de correo — cómo se construyen los ataques que viajan dentro de un archivo

Recursos relacionados

Contenidos breves de la sección Recursos, para quien quiera detenerse en un solo aspecto:

• Cómo reconocer el phishing pensado para convencer
• Falsas alertas de virus: cuando la alarma es el propio ataque

Da el primer paso: el Programa «Protege tu Privacidad Digital» te acompaña gratis, una recomendación cada vez.