Las 15\u00a0extensiones de archivo m\u00e1s utilizadas en env\u00edos masivos de correos electr\u00f3nicos maliciosos<\/p>\n<\/div>\n
Veamos qu\u00e9 hacen realmente los archivos con estas extensiones en la pr\u00e1ctica.<\/p>\n
Archivos ejecutables<\/h2>\n
Un archivo ejecutable es un programa inform\u00e1tico compilado que est\u00e1 listo para ejecutarse. Una vez iniciado, el archivo ejecutable malicioso puede descargar cargas \u00fatiles adicionales, modificar la configuraci\u00f3n del sistema, robar datos del usuario, conectar tu dispositivo a servidores externos controlados por los atacantes y mucho m\u00e1s. Estas son las extensiones de archivos ejecutables m\u00e1s habituales que se encuentran en las campa\u00f1as de correo electr\u00f3nico malicioso:<\/p>\n
- \n
- .exe<\/li>\n
- .dll<\/li>\n
- .com<\/li>\n
- .scr<\/li>\n<\/ul>\n
.exe<\/h3>\n
Es la cl\u00e1sica extensi\u00f3n de los archivos ejecutables de Windows. Es la base de todos los programas que usas a diario, desde los navegadores web y videojuegos hasta los paquetes de oficina e instaladores de software.<\/p>\n
Por cierto, los atacantes suelen camuflar el malware EXE con extensiones dobles: invoice.docx.exe, report.pdf.exe o incluso photo.jpg.exe. Aprovechan una configuraci\u00f3n predeterminada de Windows: ocultar las extensiones de los tipos de archivo conocidos. Como esta configuraci\u00f3n est\u00e1 activada de manera predeterminada, los usuarios solo ven la primera parte del nombre del archivo (invoice.docx, report.pdf o photo.jpg) y dan por hecho que se trata simplemente de un documento o una imagen normales. Pero en cuanto abres este archivo tramposo, el malware se activa.<\/p>\n
.dll<\/h3>\n
Otra extensi\u00f3n habitual que se utiliza de forma abusiva en campa\u00f1as maliciosas es .dll (biblioteca de enlace din\u00e1mico). Estas bibliotecas contienen funciones que los programas de Windows suelen necesitar durante su ejecuci\u00f3n; por ejemplo, imprimir un documento. Esta arquitectura modular evita el c\u00f3digo redundante, ya que permite que varias aplicaciones utilicen precisamente la misma biblioteca para tareas espec\u00edficas. Sin embargo, si un atacante reemplaza una biblioteca leg\u00edtima por otra infectada, la ejecuci\u00f3n de cualquier programa normal que la utilice puede activar c\u00f3digo malicioso.<\/p>\n
.com<\/h3>\n
Si bien los archivos con la extensi\u00f3n .com no tienen absolutamente nada que ver con el dominio web del mismo nombre, es probable que los ciberdelincuentes cuenten con que las v\u00edctimas confundan estos archivos con enlaces de un formato inusual. En realidad, se trata de un formato ejecutable heredado de Windows.<\/p>\n
Aunque las versiones modernas de Windows ya no utilizan este tipo de archivo, el sistema operativo todav\u00eda puede ejecutarlo, por lo que abrirlo es una muy mala idea.<\/p>\n
.scr<\/h3>\n
Los archivos SCR son salvapantallas: esas animaciones que aparecen en la pantalla de Windows cuando el sistema est\u00e1 inactivo y que muestran patrones abstractos, el emblem\u00e1tico logotipo que rebota o cualquier otro elemento. A pesar de que tienen la reputaci\u00f3n de ser inofensivos, los salvapantallas son, en esencia, archivos ejecutables al igual que los archivos EXE: una vez abiertos, pueden instalar componentes adicionales o modificar la configuraci\u00f3n del sistema. En las campa\u00f1as maliciosas, estos archivos suelen hacerse pasar por im\u00e1genes, capturas de pantalla o documentos.<\/p>\n
Scripts<\/h2>\n
Los scripts son archivos de texto que contienen una secuencia de comandos que un ordenador ejecuta autom\u00e1ticamente en orden. Pueden descargar archivos, instalar y ejecutar programas, modificar la configuraci\u00f3n de seguridad y mucho m\u00e1s. Las personas que realizan ataques por correo electr\u00f3nico suelen recurrir con mayor frecuencia a los siguientes tipos de scripts:<\/p>\n
- \n
- .js y .jse<\/li>\n
- .bat<\/li>\n
- .cmd<\/li>\n
- .vbs<\/li>\n
- .wsf<\/li>\n
- .vbe<\/li>\n
- .au3<\/li>\n<\/ul>\n
.js y .jse<\/h3>\n
Las extensiones .js y .jse se utilizan en los archivos de JavaScript. La mayor\u00eda de los usuarios asocian JavaScript exclusivamente con las p\u00e1ginas web y no se dan cuenta de que estos archivos se pueden ejecutar de forma local en su ordenador como programas independientes.<\/p>\n
Hace poco, escribimos sobre CrystalX RAT, un troyano de acceso remoto<\/a> que registra las pulsaciones del teclado, roba el contenido del portapapeles e inyecta componentes maliciosos en los navegadores web tras su instalaci\u00f3n. Sus scripts JS supervisaban<\/a> las direcciones de las carteras de criptomonedas y las sustitu\u00edan silenciosamente por las del propio atacante para secuestrar las transacciones en tiempo real.<\/p>\n
.cmd y .bat<\/h3>\n
Los archivos BAT y CMD est\u00e1n dise\u00f1ados para automatizar tareas en Windows y pueden ejecutar pr\u00e1cticamente cualquier comando del sistema operativo. Si se ejecuta un archivo de este tipo, tu ordenador podr\u00eda infectarse con malware.<\/p>\n
.vbs<\/h3>\n
Los archivos de Visual Basic Script con la extensi\u00f3n .vbs son, desde hace tiempo, uno de los favoritos de los ciberdelincuentes. Los atacantes suelen utilizar extensiones dobles para camuflar los archivos .vbs como documentos de texto sin formato, tales como facturas, gu\u00edas de instalaci\u00f3n de aplicaciones o correos electr\u00f3nicos. Por ejemplo, a principios de la d\u00e9cada de 2000, el emblem\u00e1tico gusano ILOVEYOU se propag\u00f3 a trav\u00e9s de un script VBS e infect\u00f3 a millones de ordenadores en todo el mundo<\/strong><\/a>. Las v\u00edctimas recib\u00edan un correo electr\u00f3nico con el asunto \u201cILOVEYOU\u201d. Pero, en lugar de una dulce confesi\u00f3n, el archivo adjunto conten\u00eda un script malicioso. En su punto \u00e1lgido, este gusano \u201crom\u00e1ntico\u201d lleg\u00f3 a infectar hasta el 10\u00a0% de todos los ordenadores conectados a Internet.<\/p>\n
Archivos web<\/h2>\n
Esta categor\u00eda incluye principalmente archivos .html, .htm, .hta y .svg. A menudo, se trata de p\u00e1ginas de phishing camufladas que est\u00e1n dise\u00f1adas para imitar formularios de inicio de sesi\u00f3n de correo electr\u00f3nico, servicios en la nube, aplicaciones bancarias y otras plataformas. Como es l\u00f3gico, cualquier dato de acceso que se introduzca en estas p\u00e1ginas falsas va a parar directamente a manos de los atacantes, que buscan acceder a tus cuentas y quedarse con tu dinero. Los archivos web tambi\u00e9n pueden activar scripts maliciosos y descargar cargas adicionales en tu sistema.<\/p>\n
Archivos comprimidos<\/h2>\n
Los ciberdelincuentes suelen empaquetar archivos maliciosos dentro de archivos comprimidos (normalmente con extensiones .zip, .rar y .7z). Estos archivos comprimidos suelen estar protegidos con contrase\u00f1a o cifrados para dificultar el an\u00e1lisis de su contenido. Adem\u00e1s, los atacantes a veces crean archivos comprimidos corruptos<\/a> de manera intencional con estructuras de datos da\u00f1adas: los filtros de seguridad b\u00e1sicos suelen pasar por alto los archivos da\u00f1ados y no los analizan, mientras que los administradores de archivos comprimidos pueden reparar y descomprimir autom\u00e1ticamente el contenido.<\/p>\n
Por eso, recomendamos utilizar soluciones de seguridad avanzadas<\/a>\u00a0que sean capaces de detectar correos electr\u00f3nicos de phishing y evitar que se ejecuten archivos peligrosos ocultos dentro de los archivos comprimidos.<\/p>\n
Archivos PDF (.pdf)<\/h2>\n
Para muchas personas, el PDF parece un formato de archivo totalmente inofensivo; al fin y al cabo, \u00bfqu\u00e9 podr\u00eda salir mal con los billetes de avi\u00f3n, los documentos y las presentaciones de diapositivas? Pero, m\u00e1s all\u00e1 del texto y las im\u00e1genes est\u00e1ticas, los PDF pueden contener enlaces, formularios e incluso scripts en los que se puede hacer clic.<\/p>\n
El c\u00f3digo malicioso de un PDF suele estar oculto detr\u00e1s de elementos visuales o incrustado como texto oculto. Es m\u00e1s, el riesgo no proviene solo del propio archivo, sino tambi\u00e9n del software que utilizas para visualizarlo: por ejemplo, unos atacantes pasaron meses aprovechando<\/a> una vulnerabilidad en Adobe Acrobat que les permit\u00eda ejecutar archivos PDF maliciosos de forma remota. Si trabajas habitualmente con documentos PDF, aseg\u00farate de que la funci\u00f3n de JavaScript est\u00e9 desactivada en tu Adobe Acrobat. Para ello, ve a Preferencias<\/em> \u2192 JavaScript<\/em> en el men\u00fa.<\/p>\n
Por cierto, los usuarios habituales de agentes de IA y chatbots deben tener en cuenta que la IA suele caer en las inyecciones de comandos<\/a>: cuando hay \u00f3rdenes ocultas en im\u00e1genes, texto y p\u00e1ginas web que la IA interpreta como instrucciones leg\u00edtimas y ejecuta sin que el usuario se d\u00e9 cuenta.<\/p>\n
Atajos LNK (.lnk)<\/h2>\n
Los archivos con la extensi\u00f3n .lnk son atajos est\u00e1ndar de Windows que utilizamos a diario para acceder r\u00e1pidamente a las aplicaciones y carpetas. Por s\u00ed mismos, los atajos no contienen ning\u00fan software; simplemente indican a Windows qu\u00e9 archivo debe abrir o qu\u00e9 comando debe ejecutar.<\/p>\n
Sin embargo, un atacante puede asignar a un atajo cualquier icono y cualquier nombre que desee, por lo que puede ocultar por completo su destino real. En el momento en que la v\u00edctima hace clic en el atajo, se pone en marcha la cadena de infecci\u00f3n. El c\u00f3digo malicioso suele ejecutarse de forma silenciosa en segundo plano, sin dejar pr\u00e1cticamente ninguna pista visual de que algo haya ido mal.<\/p>\n
A los ciberdelincuentes tambi\u00e9n les gusta ocultar los archivos LNK detr\u00e1s de extensiones dobles<\/a> y apuestan por que los usuarios no presten suficiente atenci\u00f3n como para darse cuenta de qu\u00e9 tipo de archivo est\u00e1n abriendo realmente. Aqu\u00ed podemos ver un ejemplo cl\u00e1sico:<\/p>\n
![\"Los](\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/88\/2026\/08\/13155420\/dangerous-extensions-in-email-01.jpg\" "\\"Los")
<\/a>El Explorador de archivos de Windows solo muestra la primera parte de la extensi\u00f3n, .docx. El tipo de archivo aparece claramente indicado como un atajo, pero muy poca gente se da cuenta de ese detalle.<\/p><\/div>\n
Por cierto, si hace tiempo que no actualizas Windows, tenemos malas noticias para ti: el c\u00f3digo malicioso puede ejecutarse autom\u00e1ticamente<\/a> sin que tengas que hacer clic en el archivo LNK. Basta con abrir la carpeta en la que se encuentra para activarlo. Microsoft por fin lanz\u00f3 un parche<\/a> para esta vulnerabilidad, explotada desde hace tiempo, en diciembre de 2025. As\u00ed que no pospongas las actualizaciones del sistema: inst\u00e1lalas con regularidad para cubrir las deficiencias de seguridad de las que se aprovechan los atacantes.<\/p>\n
Documentos de Microsoft Office<\/h2>\n
.xls y .xlsx<\/h3>\n
La extensi\u00f3n de archivo .xls se utiliza en las versiones antiguas de Microsoft Excel. Millones de personas utilizan las hojas de c\u00e1lculo de Excel a diario, y muchas de ellas usan una versi\u00f3n obsoleta, lo que convierte a los archivos XLS en un anzuelo muy codiciado por los ciberdelincuentes. Los presupuestos, las plantillas de personal, los registros financieros, los informes urgentes y otras hojas de c\u00e1lculo dejan de ser inofensivas en el momento en que el usuario hace clic en Activar contenido<\/em>, lo que permite al programa ejecutar macros (scripts y comandos personalizados de Microsoft Office integrados en los archivos). Una vez habilitada, la macro maliciosa tiene v\u00eda libre para descargar archivos, iniciar programas, recolectar datos del sistema y modificar la configuraci\u00f3n.<\/p>\n
A diferencia del formato XLS, el XLSX es el formato moderno de Excel, que no admite macros incrustadas de manera predeterminada. Por desgracia, eso no garantiza una seguridad total: la hoja de c\u00e1lculo todav\u00eda puede extraer datos en tiempo real de fuentes externas y conectarse autom\u00e1ticamente a destinos web en segundo plano.<\/p>\n
.docx<\/h3>\n
Aunque los archivos DOCX modernos no admiten macros de manera predeterminada, los atacantes llevan tiempo encontrando otras formas de utilizar estos documentos con fines maliciosos. Por lo general, los archivos DOCX maliciosos contienen enlaces o instrucciones incrustados que obligan a Word a conectarse a servidores externos y descargar cargas maliciosas. Ya en 2023, por ejemplo, los investigadores descubrieron una vulnerabilidad<\/a> en Microsoft Office que permit\u00eda a los atacantes activar las herramientas integradas del sistema Windows y descargar malware directamente de la web.<\/p>\n
Para reducir el riesgo al trabajar con las aplicaciones de Microsoft Office, te recomendamos activar la Vista protegida<\/a>, bloquear las conexiones externas<\/a> y desactivar todas las macros sin notificaci\u00f3n<\/a>.<\/p>\n
Compatibilidad con macros en las versiones modernas de Microsoft Office<\/h3>\n
Las macros son secuencias de comandos que automatizan tareas complejas y repetitivas en Excel, Outlook, Word y PowerPoint. En las versiones modernas de Microsoft Office, los documentos que contienen macros incrustadas se guardan en formatos de archivo especializados con extensiones como .xlsm, .xltm, .xlsb, .docm y .pptm. Aunque Microsoft Office incluye controles de seguridad integrados (como el bloqueo de archivos descargados de la web<\/a> y las advertencias<\/a> sobre macros potencialmente peligrosas), si no utilizas macros y no tienes ninguna raz\u00f3n espec\u00edfica para ejecutarlas, trata con precauci\u00f3n los archivos con estas extensiones.<\/p>\n
C\u00f3mo comprobar si un archivo es seguro<\/h2>\n
- \n
- Utiliza un <\/strong>paquete de seguridad integral<\/a><\/strong>\u00a0que analice autom\u00e1ticamente los archivos en busca de malware, evite infecciones, bloquee las visitas a sitios sospechosos y elimine por completo los archivos maliciosos de tus dispositivos. Puedes aprovechar la versi\u00f3n de prueba de 30\u00a0d\u00edas de Kaspersky Premium<\/a><\/strong>\u00a0si necesitas desinfectar urgentemente tu ordenador o analizar un archivo en busca de virus.<\/li>\n
- Nunca abras archivos adjuntos de remitentes desconocidos.<\/strong> La curiosidad puede salirte muy cara, ya que muchas variedades de malware buscan espec\u00edficamente los datos de las tarjetas de cr\u00e9dito y las carteras de criptomonedas. Deja que la funci\u00f3n Antivirus de correo<\/a>, incluida en nuestras soluciones de seguridad<\/a>, se encargue del trabajo pesado: filtra autom\u00e1ticamente los correos electr\u00f3nicos maliciosos o sospechosos y te protege de los ataques de phishing.<\/li>\n
- Revisa con atenci\u00f3n los correos electr\u00f3nicos que recibas<\/strong>: los ciberdelincuentes se han vuelto expertos en camuflar los mensajes maliciosos. Verifica siempre las direcciones de correo electr\u00f3nico cotej\u00e1ndolas con las oficiales y aseg\u00farate de conocer los indicios del phishing<\/a> y el spam<\/a>. Los atacantes pueden intentar asustarte alegando que tu cuenta ha sido pirateada, tentarte a entrar a sitios web sospechosos con \u201cofertas inmejorables\u201d o instarte a revisar un documento de trabajo adjunto al correo electr\u00f3nico. Cualquier intento de manipular tus emociones es una gran se\u00f1al de alarma de que alguien est\u00e1 tratando de enga\u00f1arte.<\/li>\n
- Nunca abras archivos con doble extensi\u00f3n. <\/strong>Casi siempre se trata de una trampa.<\/li>\n
- Si te encuentras con un archivo con una extensi\u00f3n que no te resulta familiar, t\u00f3mate un momento para buscarla en Internet<\/strong>. Recuerda: una foto o un documento de texto sin formato nunca tendr\u00e1 una extensi\u00f3n .lnk o .vbs.<\/li>\n<\/ul>\n
Consulta nuestras otras publicaciones sobre seguridad de los correos electr\u00f3nicos y los archivos:<\/p>\n
- \n
- Curso b\u00e1sico sobre el spam: qu\u00e9 es y c\u00f3mo combatirlo<\/a><\/li>\n
- \u00bfQu\u00e9 hacer si recibes un correo electr\u00f3nico de phishing?<\/a><\/li>\n
- Atacantes que disfrazan el phishing como notificaciones de AppSheet de Google<\/a><\/li>\n
- Verificaci\u00f3n de los c\u00f3digos QR en correos electr\u00f3nicos<\/a><\/li>\n
- C\u00f3mo convertir archivos de forma segura<\/a><\/li>\n<\/ul>\n<\/blockquote>\n\n","protected":false},"excerpt":{"rendered":"
Nuestros expertos han investigado qu\u00e9 extensiones de archivo utilizan los ciberdelincuentes con mayor frecuencia en sus env\u00edos masivos de correo electr\u00f3nico. A continuaci\u00f3n, te ofrecemos un desglose de los tipos de archivos adjuntos m\u00e1s peligrosos, adem\u00e1s de consejos para proteger tus dispositivos frente a los archivos maliciosos.<\/p>\n","protected":false},"author":2706,"featured_media":32371,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1348],"tags":[378,538,3318,43],"class_list":["post-32370","post","type-post","status-publish","format-standard","has-post-thumbnail","category-threats","tag-amenazas","tag-correo-electronico","tag-macros","tag-phishing"],"hreflang":[{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/dangerous-extensions-in-email\/32370\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/dangerous-extensions-in-email\/30914\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/dangerous-extensions-in-email\/42464\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/dangerous-extensions-in-email\/56238\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/dangerous-extensions-in-email\/30929\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.es\/blog\/tag\/correo-electronico\/","name":"correo electr\u00f3nico"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/posts\/32370","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/users\/2706"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/comments?post=32370"}],"version-history":[{"count":2,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/posts\/32370\/revisions"}],"predecessor-version":[{"id":32374,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/posts\/32370\/revisions\/32374"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/media\/32371"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/media?parent=32370"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/categories?post=32370"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/tags?post=32370"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
- \u00bfQu\u00e9 hacer si recibes un correo electr\u00f3nico de phishing?<\/a><\/li>\n
- Nunca abras archivos adjuntos de remitentes desconocidos.<\/strong> La curiosidad puede salirte muy cara, ya que muchas variedades de malware buscan espec\u00edficamente los datos de las tarjetas de cr\u00e9dito y las carteras de criptomonedas. Deja que la funci\u00f3n Antivirus de correo<\/a>, incluida en nuestras soluciones de seguridad<\/a>, se encargue del trabajo pesado: filtra autom\u00e1ticamente los correos electr\u00f3nicos maliciosos o sospechosos y te protege de los ataques de phishing.<\/li>\n
- Utiliza un <\/strong>paquete de seguridad integral<\/a><\/strong>\u00a0que analice autom\u00e1ticamente los archivos en busca de malware, evite infecciones, bloquee las visitas a sitios sospechosos y elimine por completo los archivos maliciosos de tus dispositivos. Puedes aprovechar la versi\u00f3n de prueba de 30\u00a0d\u00edas de Kaspersky Premium<\/a><\/strong>\u00a0si necesitas desinfectar urgentemente tu ordenador o analizar un archivo en busca de virus.<\/li>\n