Abrir o no abrir: los archivos adjuntos en los emails que te ponen en riesgo

¿Alguna vez has intentado abrir un correo electrónico “cifrado” o un documento urgente solo para darte cuenta de que tu archivo adjunto DOCX habitual es, en realidad, un archivo con la extensión .docx.exe? ¿O tal vez has recibido un correo electrónico que supuestamente incluía una factura, un contrato o una nota interna como archivo adjunto, pero el archivo resultó ser algo totalmente diferente de lo que decía ser? Si es así, es probable que hayas sido objeto de un intento de infección por malware.

Los ciberdelincuentes suelen camuflar los archivos maliciosos como documentos y archivos comprimidos inofensivos, confiando en que los destinatarios hagan clic a ciegas sin comprobar la extensión. Los expertos de Kaspersky han analizado los formatos de archivo más utilizados en los envíos masivos de correos electrónicos maliciosos para revelar qué se esconde realmente detrás de estas extensiones y cómo los atacantes las utilizan como arma en sus campañas.

Nota importante: las extensiones que vamos a observar aquí se utilizan habitualmente para archivos completamente legítimos. Por ejemplo, los archivos ejecutables de Windows suelen terminar en .exe. Sin embargo, nos concentraremos específicamente en situaciones en las que los atacantes camuflan o falsifican la extensión de un archivo para hacerlo pasar por un tipo de archivo totalmente diferente.

¿Cuáles son las extensiones más habituales en el malware?

Nuestros expertos han analizado envíos masivos de correos electrónicos maliciosos desde principios de 2026 para identificar las 15 extensiones de archivo peligrosas más comunes.

.exe

.js

.html

.dll

.bat

.vbs

.xls

.pdf

.jse

.au3

.docx

.htm

.wsf

.scr

.lnk

Veamos qué hacen realmente los archivos con estas extensiones en la práctica.

Archivos ejecutables

Un archivo ejecutable es un programa informático compilado que está listo para ejecutarse. Una vez iniciado, el archivo ejecutable malicioso puede descargar cargas útiles adicionales, modificar la configuración del sistema, robar datos del usuario, conectar tu dispositivo a servidores externos controlados por los atacantes y mucho más. Estas son las extensiones de archivos ejecutables más habituales que se encuentran en las campañas de correo electrónico malicioso:

• .exe
• .dll
• .com
• .scr

.exe

Es la clásica extensión de los archivos ejecutables de Windows. Es la base de todos los programas que usas a diario, desde los navegadores web y videojuegos hasta los paquetes de oficina e instaladores de software.

Por cierto, los atacantes suelen camuflar el malware EXE con extensiones dobles: invoice.docx.exe, report.pdf.exe o incluso photo.jpg.exe. Aprovechan una configuración predeterminada de Windows: ocultar las extensiones de los tipos de archivo conocidos. Como esta configuración está activada de manera predeterminada, los usuarios solo ven la primera parte del nombre del archivo (invoice.docx, report.pdf o photo.jpg) y dan por hecho que se trata simplemente de un documento o una imagen normales. Pero en cuanto abres este archivo tramposo, el malware se activa.

.dll

Otra extensión habitual que se utiliza de forma abusiva en campañas maliciosas es .dll (biblioteca de enlace dinámico). Estas bibliotecas contienen funciones que los programas de Windows suelen necesitar durante su ejecución; por ejemplo, imprimir un documento. Esta arquitectura modular evita el código redundante, ya que permite que varias aplicaciones utilicen precisamente la misma biblioteca para tareas específicas. Sin embargo, si un atacante reemplaza una biblioteca legítima por otra infectada, la ejecución de cualquier programa normal que la utilice puede activar código malicioso.

.com

Si bien los archivos con la extensión .com no tienen absolutamente nada que ver con el dominio web del mismo nombre, es probable que los ciberdelincuentes cuenten con que las víctimas confundan estos archivos con enlaces de un formato inusual. En realidad, se trata de un formato ejecutable heredado de Windows.

Aunque las versiones modernas de Windows ya no utilizan este tipo de archivo, el sistema operativo todavía puede ejecutarlo, por lo que abrirlo es una muy mala idea.

.scr

Los archivos SCR son salvapantallas: esas animaciones que aparecen en la pantalla de Windows cuando el sistema está inactivo y que muestran patrones abstractos, el emblemático logotipo que rebota o cualquier otro elemento. A pesar de que tienen la reputación de ser inofensivos, los salvapantallas son, en esencia, archivos ejecutables al igual que los archivos EXE: una vez abiertos, pueden instalar componentes adicionales o modificar la configuración del sistema. En las campañas maliciosas, estos archivos suelen hacerse pasar por imágenes, capturas de pantalla o documentos.

Scripts

Los scripts son archivos de texto que contienen una secuencia de comandos que un ordenador ejecuta automáticamente en orden. Pueden descargar archivos, instalar y ejecutar programas, modificar la configuración de seguridad y mucho más. Las personas que realizan ataques por correo electrónico suelen recurrir con mayor frecuencia a los siguientes tipos de scripts:

• .js y .jse
• .bat
• .cmd
• .vbs
• .wsf
• .vbe
• .au3

.js y .jse

Las extensiones .js y .jse se utilizan en los archivos de JavaScript. La mayoría de los usuarios asocian JavaScript exclusivamente con las páginas web y no se dan cuenta de que estos archivos se pueden ejecutar de forma local en su ordenador como programas independientes.

Hace poco, escribimos sobre CrystalX RAT, un troyano de acceso remoto que registra las pulsaciones del teclado, roba el contenido del portapapeles e inyecta componentes maliciosos en los navegadores web tras su instalación. Sus scripts JS supervisaban las direcciones de las carteras de criptomonedas y las sustituían silenciosamente por las del propio atacante para secuestrar las transacciones en tiempo real.

.cmd y .bat

Los archivos BAT y CMD están diseñados para automatizar tareas en Windows y pueden ejecutar prácticamente cualquier comando del sistema operativo. Si se ejecuta un archivo de este tipo, tu ordenador podría infectarse con malware.

.vbs

Los archivos de Visual Basic Script con la extensión .vbs son, desde hace tiempo, uno de los favoritos de los ciberdelincuentes. Los atacantes suelen utilizar extensiones dobles para camuflar los archivos .vbs como documentos de texto sin formato, tales como facturas, guías de instalación de aplicaciones o correos electrónicos. Por ejemplo, a principios de la década de 2000, el emblemático gusano ILOVEYOU se propagó a través de un script VBS e infectó a millones de ordenadores en todo el mundo. Las víctimas recibían un correo electrónico con el asunto “ILOVEYOU”. Pero, en lugar de una dulce confesión, el archivo adjunto contenía un script malicioso. En su punto álgido, este gusano “romántico” llegó a infectar hasta el 10 % de todos los ordenadores conectados a Internet.

Archivos web

Esta categoría incluye principalmente archivos .html, .htm, .hta y .svg. A menudo, se trata de páginas de phishing camufladas que están diseñadas para imitar formularios de inicio de sesión de correo electrónico, servicios en la nube, aplicaciones bancarias y otras plataformas. Como es lógico, cualquier dato de acceso que se introduzca en estas páginas falsas va a parar directamente a manos de los atacantes, que buscan acceder a tus cuentas y quedarse con tu dinero. Los archivos web también pueden activar scripts maliciosos y descargar cargas adicionales en tu sistema.

Archivos comprimidos

Los ciberdelincuentes suelen empaquetar archivos maliciosos dentro de archivos comprimidos (normalmente con extensiones .zip, .rar y .7z). Estos archivos comprimidos suelen estar protegidos con contraseña o cifrados para dificultar el análisis de su contenido. Además, los atacantes a veces crean archivos comprimidos corruptos de manera intencional con estructuras de datos dañadas: los filtros de seguridad básicos suelen pasar por alto los archivos dañados y no los analizan, mientras que los administradores de archivos comprimidos pueden reparar y descomprimir automáticamente el contenido.

Por eso, recomendamos utilizar soluciones de seguridad avanzadas que sean capaces de detectar correos electrónicos de phishing y evitar que se ejecuten archivos peligrosos ocultos dentro de los archivos comprimidos.

Archivos PDF (.pdf)

Para muchas personas, el PDF parece un formato de archivo totalmente inofensivo; al fin y al cabo, ¿qué podría salir mal con los billetes de avión, los documentos y las presentaciones de diapositivas? Pero, más allá del texto y las imágenes estáticas, los PDF pueden contener enlaces, formularios e incluso scripts en los que se puede hacer clic.

El código malicioso de un PDF suele estar oculto detrás de elementos visuales o incrustado como texto oculto. Es más, el riesgo no proviene solo del propio archivo, sino también del software que utilizas para visualizarlo: por ejemplo, unos atacantes pasaron meses aprovechando una vulnerabilidad en Adobe Acrobat que les permitía ejecutar archivos PDF maliciosos de forma remota. Si trabajas habitualmente con documentos PDF, asegúrate de que la función de JavaScript esté desactivada en tu Adobe Acrobat. Para ello, ve a Preferencias → JavaScript en el menú.

Por cierto, los usuarios habituales de agentes de IA y chatbots deben tener en cuenta que la IA suele caer en las inyecciones de comandos: cuando hay órdenes ocultas en imágenes, texto y páginas web que la IA interpreta como instrucciones legítimas y ejecuta sin que el usuario se dé cuenta.

Atajos LNK (.lnk)

Los archivos con la extensión .lnk son atajos estándar de Windows que utilizamos a diario para acceder rápidamente a las aplicaciones y carpetas. Por sí mismos, los atajos no contienen ningún software; simplemente indican a Windows qué archivo debe abrir o qué comando debe ejecutar.

Sin embargo, un atacante puede asignar a un atajo cualquier icono y cualquier nombre que desee, por lo que puede ocultar por completo su destino real. En el momento en que la víctima hace clic en el atajo, se pone en marcha la cadena de infección. El código malicioso suele ejecutarse de forma silenciosa en segundo plano, sin dejar prácticamente ninguna pista visual de que algo haya ido mal.

A los ciberdelincuentes también les gusta ocultar los archivos LNK detrás de extensiones dobles y apuestan por que los usuarios no presten suficiente atención como para darse cuenta de qué tipo de archivo están abriendo realmente. Aquí podemos ver un ejemplo clásico:

Por cierto, si hace tiempo que no actualizas Windows, tenemos malas noticias para ti: el código malicioso puede ejecutarse automáticamente sin que tengas que hacer clic en el archivo LNK. Basta con abrir la carpeta en la que se encuentra para activarlo. Microsoft por fin lanzó un parche para esta vulnerabilidad, explotada desde hace tiempo, en diciembre de 2025. Así que no pospongas las actualizaciones del sistema: instálalas con regularidad para cubrir las deficiencias de seguridad de las que se aprovechan los atacantes.

Documentos de Microsoft Office

.xls y .xlsx

La extensión de archivo .xls se utiliza en las versiones antiguas de Microsoft Excel. Millones de personas utilizan las hojas de cálculo de Excel a diario, y muchas de ellas usan una versión obsoleta, lo que convierte a los archivos XLS en un anzuelo muy codiciado por los ciberdelincuentes. Los presupuestos, las plantillas de personal, los registros financieros, los informes urgentes y otras hojas de cálculo dejan de ser inofensivas en el momento en que el usuario hace clic en Activar contenido, lo que permite al programa ejecutar macros (scripts y comandos personalizados de Microsoft Office integrados en los archivos). Una vez habilitada, la macro maliciosa tiene vía libre para descargar archivos, iniciar programas, recolectar datos del sistema y modificar la configuración.

A diferencia del formato XLS, el XLSX es el formato moderno de Excel, que no admite macros incrustadas de manera predeterminada. Por desgracia, eso no garantiza una seguridad total: la hoja de cálculo todavía puede extraer datos en tiempo real de fuentes externas y conectarse automáticamente a destinos web en segundo plano.

.docx

Aunque los archivos DOCX modernos no admiten macros de manera predeterminada, los atacantes llevan tiempo encontrando otras formas de utilizar estos documentos con fines maliciosos. Por lo general, los archivos DOCX maliciosos contienen enlaces o instrucciones incrustados que obligan a Word a conectarse a servidores externos y descargar cargas maliciosas. Ya en 2023, por ejemplo, los investigadores descubrieron una vulnerabilidad en Microsoft Office que permitía a los atacantes activar las herramientas integradas del sistema Windows y descargar malware directamente de la web.

Para reducir el riesgo al trabajar con las aplicaciones de Microsoft Office, te recomendamos activar la Vista protegida, bloquear las conexiones externas y desactivar todas las macros sin notificación.

Compatibilidad con macros en las versiones modernas de Microsoft Office

Las macros son secuencias de comandos que automatizan tareas complejas y repetitivas en Excel, Outlook, Word y PowerPoint. En las versiones modernas de Microsoft Office, los documentos que contienen macros incrustadas se guardan en formatos de archivo especializados con extensiones como .xlsm, .xltm, .xlsb, .docm y .pptm. Aunque Microsoft Office incluye controles de seguridad integrados (como el bloqueo de archivos descargados de la web y las advertencias sobre macros potencialmente peligrosas), si no utilizas macros y no tienes ninguna razón específica para ejecutarlas, trata con precaución los archivos con estas extensiones.

Cómo comprobar si un archivo es seguro

• Utiliza un paquete de seguridad integral que analice automáticamente los archivos en busca de malware, evite infecciones, bloquee las visitas a sitios sospechosos y elimine por completo los archivos maliciosos de tus dispositivos. Puedes aprovechar la versión de prueba de 30 días de Kaspersky Premium si necesitas desinfectar urgentemente tu ordenador o analizar un archivo en busca de virus.
• Nunca abras archivos adjuntos de remitentes desconocidos. La curiosidad puede salirte muy cara, ya que muchas variedades de malware buscan específicamente los datos de las tarjetas de crédito y las carteras de criptomonedas. Deja que la función Antivirus de correo, incluida en nuestras soluciones de seguridad, se encargue del trabajo pesado: filtra automáticamente los correos electrónicos maliciosos o sospechosos y te protege de los ataques de phishing.
• Revisa con atención los correos electrónicos que recibas: los ciberdelincuentes se han vuelto expertos en camuflar los mensajes maliciosos. Verifica siempre las direcciones de correo electrónico cotejándolas con las oficiales y asegúrate de conocer los indicios del phishing y el spam. Los atacantes pueden intentar asustarte alegando que tu cuenta ha sido pirateada, tentarte a entrar a sitios web sospechosos con “ofertas inmejorables” o instarte a revisar un documento de trabajo adjunto al correo electrónico. Cualquier intento de manipular tus emociones es una gran señal de alarma de que alguien está tratando de engañarte.
• Nunca abras archivos con doble extensión. Casi siempre se trata de una trampa.
• Si te encuentras con un archivo con una extensión que no te resulta familiar, tómate un momento para buscarla en Internet. Recuerda: una foto o un documento de texto sin formato nunca tendrá una extensión .lnk o .vbs.

Consulta nuestras otras publicaciones sobre seguridad de los correos electrónicos y los archivos:

• Curso básico sobre el spam: qué es y cómo combatirlo
• ¿Qué hacer si recibes un correo electrónico de phishing?
• Atacantes que disfrazan el phishing como notificaciones de AppSheet de Google
• Verificación de los códigos QR en correos electrónicos
• Cómo convertir archivos de forma segura