Qué significa
El archivo tiene algo fuera de lo normal. Puede ser:
- un programa o un script dentro de un archivo comprimido, como
factura.pdf.exe; - un archivo protegido con contraseña, que este análisis no puede leer por dentro;
- un archivo comprimido que, al abrirse, ocupa una cantidad enorme de espacio.
Qué riesgo tiene
Un programa dentro de un archivo comprimido se ejecuta cuando usted lo abre. Los atacantes usan la contraseña para que el antivirus del correo no pueda revisar el contenido. Un archivo que se expande demasiado puede dejar su equipo sin memoria.
Qué hacer
No abra ni descomprima el archivo. Si lo esperaba, confirme con quien lo envió, por otro medio, que lo mandó y qué contiene. No use una contraseña que venga en el mismo mensaje sin esa confirmación.
Fuentes
- MITRE ATT&CK: T1204.002, archivo malicioso
- MITRE ATT&CK: T1027.013, archivo cifrado o codificado
- CWE-409: manejo incorrecto de datos muy comprimidos
Qué significa
El archivo es un programa o contiene programas. Los tipos más comunes son:
- un programa que se instala o se ejecuta;
- un archivo de instrucciones (un script);
- un acceso directo;
- una imagen de disco, que es un archivo que funciona como un disco virtual.
Qué riesgo tiene
Abrirlo puede ejecutar programas dañinos en su equipo. Un acceso directo puede lanzar una orden escondida. Una imagen de disco puede traer programas que Windows no vigila de la misma manera.
Qué hacer
No abra el archivo. Las personas y las empresas rara vez envían este tipo de archivo por correo.
Fuentes
- MITRE ATT&CK: T1204.002, archivo malicioso
- MITRE ATT&CK: T1553.005, evasión de la marca de origen de Internet
Qué significa
El archivo es una página web o una imagen SVG, y trae algo más que texto o dibujo. Puede ser:
- un script, que son instrucciones que el navegador ejecuta al abrirlo;
- un campo para escribir una contraseña, como una página de inicio de sesión falsa guardada en un archivo;
- un script que arma un archivo en su navegador y lo descarga, una técnica llamada «HTML smuggling»;
- en una imagen SVG, instrucciones que se ejecutan al abrirla.
Qué riesgo tiene
Una página abierta desde un archivo puede imitar el inicio de sesión de un banco o de su correo. Lo que usted escriba puede llegar al atacante. Un script puede crear y descargar un programa sin pasar por el filtro del correo. Una imagen SVG con instrucciones las ejecuta al abrirla en el navegador.
Qué hacer
No abra el archivo. Si lo esperaba, confirme con quien lo envió, por otro medio, que lo mandó. Nunca escriba una contraseña en una página que le llegó como archivo adjunto.
Fuentes
- MITRE ATT&CK: T1027.006, contrabando de HTML
- MITRE ATT&CK: T1566.001, archivo adjunto de phishing
- MDN: elemento script de SVG
Qué significa
El archivo no es lo que su nombre aparenta. Puede ocurrir de tres maneras:
- el nombre dice un tipo de archivo y el contenido es de otro;
- el nombre tiene dos terminaciones, como
factura.pdf.exe, y Windows puede ocultar la última; - el nombre incluye un carácter invisible que invierte el orden de las letras, así que la terminación real parece otra.
Este análisis mira el contenido del archivo, además de su nombre.
Qué riesgo tiene
Un programa puede hacerse pasar por un documento y ejecutarse al abrirlo. Los atacantes usan este truco en los archivos adjuntos de un correo.
Qué hacer
No abra el archivo. Si lo esperaba, pregunte a quien lo envió, por otro medio, cómo se llama y de qué tipo es.
Fuentes
- MITRE ATT&CK: T1036.007, doble extensión de archivo
- MITRE ATT&CK: T1036.002, anulación de derecha a izquierda
- MITRE ATT&CK: T1204.002, archivo malicioso
Qué significa
El documento de Office trae instrucciones que pueden ejecutarse al abrirlo. Una forma son las macros, que son pequeños programas guardados dentro del documento. Otra es un campo DDE, una función antigua de Office capaz de lanzar un programa del equipo.
Qué riesgo tiene
Una macro o un campo DDE puede instalar un programa dañino en su equipo. Office pide permiso antes de ejecutarlas, y los atacantes lo piden con textos como «Habilite el contenido para ver el documento».
Qué hacer
No pulse «Habilitar contenido» ni acepte actualizar vínculos o campos. Si esperaba el documento, confirme con quien lo envió, por otro medio, que debe traer macros.
Fuentes
- Microsoft: macros de Internet bloqueadas por defecto en Office
- MITRE ATT&CK: T1059.005, Visual Basic
- MITRE ATT&CK: T1559.002, intercambio dinámico de datos
Qué significa
El documento de Office incluye algo que viene de fuera. Puede ser:
- un objeto incrustado, que es otro archivo guardado dentro del documento;
- una plantilla que se descarga de internet o de una carpeta compartida de la red al abrirlo;
- una imagen u otro contenido que se carga desde una dirección externa.
Qué riesgo tiene
Una plantilla externa puede traer macros que se descargan al abrir el documento. Un objeto incrustado puede ser un programa disfrazado. Una dirección externa avisa al atacante de que usted abrió el documento. Si apunta a una carpeta compartida de Windows, también puede enviar datos de su inicio de sesión.
Qué hacer
No abra el documento. Si ya lo abrió, no habilite el contenido y ciérrelo sin guardar. Si necesita su contenido, pida a quien lo envió que lo mande en PDF.
Fuentes
- MITRE ATT&CK: T1221, inyección de plantillas
- MITRE ATT&CK: T1187, autenticación forzada
- MITRE ATT&CK: T1204.002, archivo malicioso
Qué significa
Este análisis no pudo leer todo el contenido del archivo. Puede estar dañado, ser demasiado grande o complejo, o estar hecho para confundir a los programas de revisión.
Qué riesgo tiene
Lo que este análisis no pudo leer no se revisó. El resultado puede estar incompleto.
Qué hacer
Trate el archivo como no revisado. Si no lo esperaba, no lo abra. Si lo esperaba, confirme con quien lo envió, por otro medio, que lo mandó.
Fuentes
Qué significa
El PDF trae algo que va más allá de mostrar un documento. Puede ser:
- JavaScript, que son instrucciones que el lector de PDF ejecuta al abrirlo;
- una acción que intenta lanzar un programa de su equipo;
- un archivo guardado dentro del PDF.
Qué riesgo tiene
Las instrucciones y las acciones que lanzan programas pueden ejecutar algo dañino en su equipo. Esto es más probable si el lector de PDF tiene fallos sin corregir. Un archivo guardado dentro puede ser un programa disfrazado. Un PDF normal rara vez trae estas cosas. Algunas facturas electrónicas sí llevan un archivo de datos.
Qué hacer
No abra el PDF si no lo esperaba. Si lo esperaba, confirme con quien lo envió, por otro medio, que lo mandó. Mantenga su lector de PDF actualizado.
Fuentes
Qué significa
El documento RTF lleva dentro un objeto incrustado, que es otro archivo o programa guardado dentro del documento.
Qué riesgo tiene
Los atacantes usan los objetos de los documentos RTF para aprovechar fallos de Word y ejecutar un programa en su equipo. Puede ocurrir al abrir el documento, sin pulsar nada más. Un documento RTF normal casi nunca lleva objetos.
Qué hacer
No abra el documento. Si lo esperaba, pida a quien lo envió que lo mande como PDF. Mantenga Word y Windows actualizados.
Fuentes
- MITRE ATT&CK: T1203, explotación para ejecutar código en el cliente
- MITRE ATT&CK: T1566.001, archivo adjunto de phishing
Qué significa
El archivo pesa más de 25 MB. Para no bloquear su navegador, este análisis no lo lee.
Qué riesgo tiene
No hay ningún análisis del contenido del archivo.
Qué hacer
Trátelo como un archivo sin revisar. Si lo necesita, ábralo solo en un equipo aparte, sin datos importantes.
Fuentes
Qué significa
La dirección a la que van sus respuestas, o la que recibe los avisos de error, es de un sitio distinto al del remitente.
Qué riesgo tiene
Si usted responde, la respuesta va a otra persona. Los envíos masivos legítimos también usan otro sitio para los avisos de error.
Qué hacer
Antes de responder, mire a qué dirección va su respuesta.
Fuentes
Qué significa
Los datos técnicos del correo dicen si el servidor que lo recibió pudo comprobar que es auténtico. Esas comprobaciones se llaman SPF, DKIM y DMARC. Un fail o un softfail indica que el sitio del remitente no autorizó ese envío. Una firma digital de otro sitio indica que la firma no corresponde al remitente.
Qué riesgo tiene
Un correo que falla estas comprobaciones puede ser falso. Un pass no prueba que el correo sea legítimo.
Solo el primer campo Authentication-Results lo añadió su propio servidor de correo. Cualquiera puede escribir los demás.
Qué hacer
Tome el resultado como una pista más. Si duda, confirme el mensaje por otro medio.
Si los datos técnicos no traen ese campo, no se puede leer la autenticidad del correo.
Fuentes
Qué significa
Las horas del recorrido del correo, que cada servidor anota en el campo Received, no cuadran:
- un paso es anterior al que lo precede;
- hay una demora larga;
- la fecha del mensaje queda lejos del primer paso.
Qué riesgo tiene
Puede indicar un mensaje retenido o reenviado. También pasa en correos legítimos con fallos o colas.
Qué hacer
Tómelo como una señal débil. Dele más peso si aparece junto a otras.
Fuentes
Qué significa
La dirección tiene una forma poco común para el sitio de una empresa:
- números en lugar del nombre de un sitio;
- un número extra después del nombre, como
:8080; - una conexión sin cifrar, es decir, sin candado;
- muchas partes antes del nombre del sitio;
- un nombre largo con aspecto aleatorio.
Qué riesgo tiene
Los sitios de empresas legítimas suelen tener un nombre propio, una conexión cifrada y una dirección sencilla. Una de estas formas no prueba nada por sí sola.
Qué hacer
Si el mensaje dice venir de una empresa, entre por la dirección que usted conoce y no por el enlace.
Fuentes
Qué significa
El nombre del sitio se parece al de una marca conocida o lo contiene, pero el sitio no es de esa marca. Lo hace de una de estas maneras:
- cambia una letra;
- usa un número que parece una letra;
- usa otra terminación de dirección;
- pone la marca al principio de la dirección;
- pone la marca junto a otras palabras.
Qué riesgo tiene
Quien lee el mensaje ve el nombre de la marca y supone que el sitio es suyo. El dueño lo indica el nombre del sitio, que es la última palabra antes de la terminación, como .com.
Qué hacer
Mire cuál es ese nombre. Entre por la dirección oficial de la empresa.
Esta comprobación usa una lista de marcas y puede señalar un sitio legítimo con un nombre parecido.
Fuentes
Qué significa
El enlace lleva a un servicio donde cualquiera puede publicar páginas, archivos o formularios, como un sitio gratuito, un almacenamiento en línea o un formulario. El nombre del sitio es el del servicio y no el de la empresa que firma el mensaje.
Qué riesgo tiene
Un nombre conocido no garantiza que el contenido sea legítimo, porque cualquier persona puede publicar allí. Los atacantes usan estos servicios para pasar inadvertidos.
Qué hacer
Confirme con quien le envió el enlace que lo envió él y por qué. No escriba contraseñas ni datos personales en un formulario que no esperaba.
Fuentes
Qué significa
El enlace lleva a la descarga de un archivo. Por su nombre, puede ser un programa, un documento con macros (instrucciones automáticas dentro del documento) o un archivo comprimido.
Este análisis no abre el enlace, así que no sabe qué archivo entrega el sitio.
Qué riesgo tiene
Un programa descargado puede instalar software dañino al abrirse. Un documento con macros puede ejecutar instrucciones cuando usted pulsa «Habilitar contenido». Un archivo comprimido puede esconder cualquiera de los dos.
Qué hacer
No descargue el archivo desde el mensaje. Si lo esperaba, pídaselo a quien lo envía por otro medio.
Office bloquea las macros de los archivos que vienen de Internet. No quite ese bloqueo en un archivo que no conoce.
Fuentes
- MITRE ATT&CK: T1204.001, enlace malicioso
- Microsoft: macros de Internet bloqueadas por defecto en Office
Qué significa
La dirección incluye un correo electrónico, a veces escrito con símbolos especiales.
Qué riesgo tiene
El enlace está hecho para quien lo recibe, porque lleva su dirección. Los mensajes masivos legítimos también lo hacen, por ejemplo para darse de baja o confirmar una suscripción.
Qué hacer
No inicie sesión desde ese enlace. Entre por la dirección oficial del sitio.
Fuentes
Qué significa
El nombre del sitio incluye letras de otros alfabetos. A veces mezcla alfabetos en una misma palabra, como una «а» del alfabeto cirílico dentro de una palabra en letras latinas. Los navegadores guardan esos nombres con un prefijo xn--.
Qué riesgo tiene
Hay letras de alfabetos distintos que se ven iguales. Así, un nombre puede parecer el de una marca sin serlo. Un nombre con xn-- también puede ser legítimo, por ejemplo si lleva eñes o tildes.
Qué hacer
Si no reconoce el sitio, no pulse el enlace. Escriba usted la dirección.
Fuentes
Qué significa
La dirección contiene otra dirección escrita dentro, como ?url= o ?redirect=. El primer sitio reenvía a la persona al segundo.
Qué riesgo tiene
El primer sitio puede ser legítimo y aun así llevar a otro. Un atacante lo usa para que el enlace parezca de un sitio confiable.
Qué hacer
Lea la segunda dirección: es adonde va el enlace. Si no la reconoce, no pulse.
Fuentes
Qué significa
La terminación de la dirección, como .zip, .top o .click, está en una lista de terminaciones que se usan mucho en abusos.
Qué riesgo tiene
Muchos sitios legítimos usan esas terminaciones. Los informes de reputación, como los de Spamhaus, señalan algunas de ellas, como .top. La lista de este análisis es una estimación y no una clasificación oficial. Por sí sola, la terminación es una señal débil.
Qué hacer
Dele más peso si aparece junto a otras señales.
Fuentes
Qué significa
El enlace no abre una página web. Algunos enlaces ejecutan instrucciones directamente y otros abren un programa de su computadora.
Qué riesgo tiene
Un enlace de este tipo puede mostrar una página falsa o ejecutar instrucciones sin salir del mensaje. Uno de ellos, ms-msdt:, abre la herramienta de diagnóstico de Windows. Esa herramienta tuvo una falla grave, llamada Follina, que los atacantes explotaron.
Qué hacer
No pulse el enlace. Un mensaje legítimo casi nunca usa este tipo de enlace.
Fuentes
Qué significa
Un servicio acorta el enlace, así que no se ve a dónde lleva.
Qué riesgo tiene
Un enlace acortado oculta el sitio de destino. La agencia de ciberseguridad de Estados Unidos (CISA) lo incluye entre las señales de fraude por mensaje.
Qué hacer
No pulse el enlace. Pida la dirección completa a quien lo envió.
Fuentes
Qué significa
El texto del enlace muestra una dirección y el enlace lleva a otra.
Qué riesgo tiene
Quien escribe el mensaje decide el texto del enlace y nadie lo comprueba. Ver una dirección conocida no garantiza que el enlace vaya allí.
Qué hacer
No pulse el enlace. Si quiere visitar ese sitio, escriba usted la dirección en el navegador.
Fuentes
Qué significa
La dirección tiene un nombre antes de una arroba, como paypal.com@sitio.example. Lo que va antes de la arroba no es el sitio. El sitio real es lo que va después.
Qué riesgo tiene
Un nombre conocido al principio hace que el enlace parezca de esa empresa, aunque lleve a otro sitio.
Qué hacer
Lea la dirección desde la arroba hacia la derecha. Si ese sitio no es el que espera, no pulse el enlace.
Fuentes
Qué significa
El enlace pasa primero por un servicio de protección del correo, como SafeLinks o Proofpoint. Este análisis lee la dirección real que va dentro, sin abrir nada.
Qué riesgo tiene
La dirección del servicio es legítima y no dice nada del destino. Según Microsoft, un enlace puede ser legítimo al llegar y dañino después.
Qué hacer
Lea la dirección de destino y las señales de ese destino.
Fuentes
Qué significa
El nombre del sitio de la dirección del remitente se parece al de una marca conocida o mezcla alfabetos.
Qué riesgo tiene
Cualquiera puede escribir una dirección parecida a la de una empresa. Una dirección parecida no prueba que el mensaje sea de ella.
Qué hacer
No responda ni pulse enlaces. Escriba usted la dirección oficial de la empresa para ponerse en contacto.
Fuentes
Qué significa
El nombre que se muestra no coincide con la dirección real. Nombra a una marca desde otro sitio, muestra una dirección distinta o es una marca que escribe desde un correo gratuito.
Qué riesgo tiene
El nombre visible lo escribe quien envía y nadie lo comprueba.
Qué hacer
Mire la dirección completa, porque el nombre puede ser cualquiera. Una empresa suele escribir desde su propio sitio.
Fuentes
Qué significa
El mensaje pide llamar a un número que aparece en el mismo mensaje.
Qué riesgo tiene
Quien contesta puede hacerse pasar por la empresa para pedir datos o pagos.
Qué hacer
No llame al número del mensaje. Busque el teléfono oficial en su tarjeta, en una factura o en el sitio oficial.
Fuentes
Qué significa
El mensaje pide verificar la cuenta o dar una clave, un código de verificación o datos de tarjeta.
Qué riesgo tiene
Con esos datos alguien puede entrar en su cuenta o usar su tarjeta. Las empresas no suelen pedir la clave ni el código de verificación por mensaje.
Qué hacer
No responda ni escriba datos. Entre a su cuenta escribiendo usted la dirección.
Si ya dio datos, cambie la clave y avise a su banco.
Fuentes
Qué significa
El mensaje da una contraseña para abrir un archivo adjunto.
Qué riesgo tiene
Un archivo protegido con contraseña impide que los análisis automáticos vean su contenido. MITRE describe a atacantes que usan esta técnica para entregar archivos de fraude.
Qué hacer
No abra el archivo. Confirme con quien lo envió, por otro medio, que lo envió y que debe llevar contraseña.
Fuentes
Qué significa
El mensaje pide un pago por un medio como tarjetas de regalo, criptomonedas, una transferencia urgente o SINPE Móvil, o habla de un pago pendiente.
Qué riesgo tiene
Estos medios de pago suelen ser difíciles de revertir.
Qué hacer
No pague. Confirme la deuda por un canal oficial.
Si ya pagó, avise de inmediato a su banco o a quien emitió el pago.
Fuentes
Qué significa
El texto usa frases típicas de presión: prisa, amenaza, premio, una autoridad, secreto o un saludo que no usa su nombre.
Qué riesgo tiene
Estas frases buscan que usted actúe antes de pensar. Los mensajes legítimos también pueden usarlas, así que son una señal débil y no una prueba.
Qué hacer
Pare y verifique por otro medio. Llame al número oficial de la empresa y no al del mensaje.
Fuentes
Qué significa
El mensaje o una página le pide abrir una ventana de Windows con las teclas Windows y R (Win+R) o una terminal. Luego le pide pegar un texto y ejecutarlo. Esta técnica se llama ClickFix.
Qué riesgo tiene
Un texto pegado así se ejecuta con sus permisos y pasa por encima de las defensas del navegador y del correo. Microsoft documentó esta técnica para instalar programas que roban información.
Qué hacer
No pegue ni ejecute nada. Cierre la página.
Si ya lo hizo, desconecte el equipo de Internet y cambie sus contraseñas desde otro dispositivo.
Fuentes