Abres un PDF y empieza el problema: así opera esta estafa

Un PDF malicioso puede facilitar que te roben contraseñas y tu dinero.

El archivo que puede terminar abriendo la puerta a tu correo, tus contraseñas o incluso a tu cuenta bancaria probablemente no tenga un nombre aterrador. Puede llamarse “Factura pendiente”, “Contrato”, “Citación” o “Comprobante de pago” y llegar en PDF, el mismo formato que abres todos los días sin pensarlo demasiado. Esa normalidad es precisamente lo que lo vuelve útil para una estafa.

Los ciberdelincuentes saben que un programa desconocido genera sospecha, mientras que un PDF parece parte de la rutina. ESET registró más de 107.000 detecciones relacionadas con PDF/Phishing en América Latina durante el primer semestre de 2026, una señal de hasta qué punto este formato está siendo utilizado dentro de campañas de fraude y distribución de malware. La cifra corresponde a detecciones, no necesariamente a 107.000 personas infectadas.

Hay otro detalle importante: el PDF no siempre contiene directamente el malware. En muchas campañas solo necesita convencerte de hacer algo más, como pulsar un enlace, escanear un código QR, descargar otro archivo o introducir tus credenciales en una página falsa. El documento puede ser apenas la primera puerta de una cadena mucho más peligrosa.

Más datos: ¿Fin de los “call centers” en las cárceles? Así piensan acabar con las estafas telefónicas

El PDF puede ser apenas el comienzo de la estafa

Imagina que recibes una supuesta factura de un servicio que utilizas. El remitente parece creíble, el diseño tiene logos conocidos y el PDF adjunto no muestra nada particularmente extraño. Al abrirlo encuentras un botón para consultar la factura completa y, después de pulsarlo, llegas a una página que parece pertenecer a la empresa.

Allí te piden iniciar sesión.

Escribes tu correo y tu contraseña, la página muestra un mensaje de error o incluso te redirige al sitio legítimo y todo parece quedar ahí. El problema es que tus credenciales ya pudieron terminar en manos del atacante.

Si utilizas esa misma contraseña en el correo, plataformas de trabajo, servicios de pago u otras cuentas, el riesgo ya no tiene nada que ver con el PDF que recibiste inicialmente. El delincuente acaba de conseguir una llave que puede probar en otros servicios.

En otras campañas, el documento no busca obtener una contraseña. Puede pedirte que descargues otro archivo para consultar la supuesta factura, contrato o notificación. Si luego ejecutas ese contenido, la estafa entra en otra fase: el computador puede comenzar a instalar software malicioso.

Otros datos: Esa app extraña en tu teléfono puede saber más de ti de lo que crees: así puedes eliminarla

También existen ataques más sofisticados en los que el propio PDF incorpora scripts, objetos u otros elementos preparados para aprovechar una vulnerabilidad del programa que utilizas para leerlo.

Por eso no todos los PDF maliciosos funcionan igual y tampoco todas las víctimas enfrentan el mismo daño.

En Colombia ya se ha utilizado esta técnica para instalar troyanos

ESET documentó una campaña dirigida a empresas colombianas que muestra bien cómo un archivo aparentemente inofensivo puede terminar comprometiendo un computador.

Todo comenzaba con un correo de phishing que incluía un PDF adjunto. El documento contenía un enlace que llevaba a la víctima hacia un sitio web y, desde allí, se descargaba un archivo comprimido en formato RAR. Si la persona lo extraía y ejecutaba su contenido, comenzaba otra etapa: se descargaba código malicioso adicional y finalmente se instalaba un troyano de acceso remoto o RAT.

Lo peligroso de esta cadena es que cada paso puede parecer relativamente normal por separado. Primero llega un correo; después aparece un documento; luego un enlace y, más adelante, una descarga. El ataque funciona porque la víctima avanza de una acción aparentemente razonable a la siguiente sin ver de inmediato todo lo que está ocurriendo detrás.

Ahí está buena parte de la eficacia de la ingeniería social: no necesita que hagas algo absurdamente peligroso desde el principio. Solo necesita que sigas avanzando.

Más información: Tener el iPhone 18 antes que nadie puede salir muy caro: advierten nueva estafa

¿Qué puede pasar si el malware consigue entrar?

Depende de la amenaza instalada, pero un RAT —Remote Access Trojan o troyano de acceso remoto— está diseñado para permitir que un tercero realice acciones en el equipo comprometido a distancia.

ESET ha documentado en campañas dirigidas a Colombia malware capaz de registrar pulsaciones del teclado, realizar capturas de pantalla, extraer archivos y descargar nuevas amenazas. (eset.com)

Eso puede darle al atacante acceso a buena parte de la vida digital que pasa por ese computador. Allí escribes contraseñas, revisas estados de cuenta, consultas correos, trabajas con documentos, utilizas plataformas empresariales y guardas fotografías, contratos o archivos personales. Si alguien consigue observar parte de esa actividad o extraer información del equipo, puede utilizarla para intentar entrar a otras cuentas, suplantarte, preparar fraudes financieros o construir ataques mucho más creíbles.

En un computador corporativo, el problema puede crecer todavía más. Una máquina comprometida puede convertirse en un punto de partida para buscar credenciales, documentos internos o accesos que permitan avanzar hacia otros sistemas de la organización. ESET advierte que este tipo de infecciones también puede facilitar movimientos laterales dentro de una red empresarial.

El delincuente no siempre necesita quedarse con tu computador. A veces le basta con acceder a la información que pasa por él.

Otros datos: Qué significa la propuesta de Huawei de “IA contra IA” en ciberseguridad en Andicom

También pueden robarte sin instalar absolutamente nada

Hay estafas con PDF en las que tu dispositivo nunca llega a infectarse, y eso no significa que hayas salido bien librado.

El documento puede incluir un enlace hacia una página prácticamente idéntica a la de tu banco, tu correo o una plataforma de trabajo. La dirección cambia ligeramente, pero el diseño, el logo y los campos parecen correctos. Ingresas tus datos, no ocurre ninguna descarga y el antivirus permanece en silencio.

Tu computador puede seguir funcionando perfectamente porque el ataque nunca necesitó instalar nada. El objetivo era conseguir que entregaras la información por tu cuenta.

Si las credenciales corresponden a un servicio financiero, el atacante puede intentar ingresar a la cuenta y realizar operaciones no autorizadas. Si pertenecen a tu correo, puede buscar mensajes, restablecer contraseñas de otros servicios o incluso utilizar tu propia identidad para engañar a más personas.

Por eso phishing y malware no son sinónimos. Pueden aparecer juntos, pero también existen ataques capaces de causar un daño serio sin instalar una sola aplicación en el dispositivo.

El código QR dentro del PDF también puede ser la trampa

Otra variante traslada el engaño del computador al celular.

El PDF puede mostrar un código QR y pedirte que lo escanees para consultar una factura, validar una cuenta o confirmar algún documento. Tomas el teléfono, apuntas con la cámara y abres la dirección sin tener que escribirla manualmente.

Más ciberseguridad: Capturas de pantalla falsas, la trampa con la que están estafando a las personas

En ese momento abandonas el entorno donde recibiste el correo y continúas el proceso en otro dispositivo. La pantalla más pequeña y el cambio de contexto pueden hacer que prestes menos atención a la dirección web, precisamente cuando deberías comprobarla con más cuidado.

El sitio al que llegas puede pedir credenciales, datos personales o información financiera. ESET incluye los códigos QR entre los mecanismos utilizados en campañas con PDF maliciosos.

El QR no vuelve confiable un enlace. Solo cambia la manera de llegar hasta él.

Si ya abriste el PDF, recuerda exactamente qué hiciste

Abrir el documento, pulsar un enlace, escribir una contraseña y ejecutar un archivo descargado son acciones muy diferentes y cada una implica un nivel distinto de exposición.

Si únicamente abriste un PDF cuyo objetivo era llevarte a una página falsa, pero no pulsaste ningún enlace, la cadena pudo haberse detenido allí. Si entraste al sitio pero no escribiste información ni descargaste archivos, el riesgo también es distinto. En cambio, si introdujiste una contraseña, debes asumir que esa credencial pudo quedar expuesta; y si descargaste, extrajiste y ejecutaste otro archivo, ya existe una posibilidad mucho más seria de que el computador haya sido comprometido.

También está el escenario menos frecuente en el que el propio PDF aprovecha una vulnerabilidad del lector. Por eso, mantener actualizado el programa con el que abres estos documentos sigue siendo importante.

Más que preguntarte simplemente si abriste el archivo, intenta reconstruir qué hiciste después. Esa diferencia ayuda a entender qué información pudo quedar expuesta y qué medidas necesitas tomar.

Hay detalles que deberían hacerte parar antes de seguir

La mayoría de nosotros no puede dejar de abrir PDFs. El trabajo, los bancos, las universidades, las tiendas y las entidades públicas los utilizan constantemente. La solución, por tanto, no pasa por tratar todos los documentos como una amenaza, sino por detectar cuándo la historia que acompaña al archivo no termina de cuadrar.

Otros datos: Así usan la app de tu banco para dejar en ceros tu cuenta

Una factura que no reconoces merece una verificación antes de hacer clic. Lo mismo ocurre con una citación inesperada, un contrato que nadie te había mencionado o un documento que exige actuar “inmediatamente” para evitar una multa, bloqueo o cobro.

También deberían generar sospecha los remitentes con direcciones ligeramente distintas a las oficiales, los botones dentro del PDF que conducen a páginas externas, los códigos QR inesperados, las descargas de archivos RAR o ZIP y las páginas que vuelven a solicitar tu contraseña después de seguir un enlace.

Los delincuentes cuentan con que quieras resolver rápido el supuesto problema que acaban de ponerte delante. Dedicar unos segundos a comprobar si el mensaje tiene sentido puede interrumpir toda la cadena antes de que llegue a la parte realmente peligrosa.

¿Qué hacer si sospechas que caíste?

Si el documento sigue abierto, evita continuar interactuando con sus enlaces, botones o códigos QR. ESET recomienda cerrar el PDF y, cuando exista sospecha de una infección, desconectar temporalmente el equipo de Internet para limitar la comunicación del posible malware. También aconseja realizar un análisis con una solución de seguridad y, si se trata de un computador corporativo, informar al equipo de TI.

Si ingresaste una contraseña en una página sospechosa, cambia esa clave desde un dispositivo confiable y haz lo mismo en cualquier otra cuenta donde la hayas reutilizado. También conviene revisar las sesiones abiertas y activar autenticación multifactor cuando el servicio lo permita.

Si entregaste credenciales bancarias o información financiera, contacta directamente a tu entidad mediante sus canales oficiales y revisa los movimientos recientes. No utilices números telefónicos ni enlaces proporcionados en el mismo correo sospechoso.

Más consejos de ciberseguridad: ¿Le confías tus secretos a Claude? Lo que saber antes de usar esta IA

Cuanto antes identifiques en qué punto de la estafa participaste, más posibilidades tendrás de limitar lo que puede ocurrir después.

¿Sabías que?

El PDF existe desde 1993. Adobe desarrolló el formato con la idea de que un documento pudiera conservar su apariencia independientemente del computador o sistema utilizado para abrirlo. Años después, su especificación terminó convirtiéndose en un estándar internacional.

Ese éxito también explica parte del problema actual. Después de más de tres décadas recibiendo facturas, contratos, formularios y documentos en PDF, aprendimos a verlo como algo cotidiano. Para un ciberdelincuente, esa confianza acumulada puede ser tan útil como cualquier vulnerabilidad técnica.