Estos sitios web que usas a diario podrían robar tus datos y vaciar tus cuentas, dice el FBI

La oficina del FBI en Denver emitió una advertencia pública sobre una nueva modalidad de estafa digital que utiliza sitios web de conversión de archivos para distribuir malware, instalar ransomware y robar información personal sensible. Según el comunicado difundido el 7 de marzo de 2025, los ciberdelincuentes están explotando herramientas en apariencia legítimas que ofrecen servicios gratuitos como convertir archivos .pdf, .doc, .jpg, .mp3 o .mp4, combinarlos o descargarlos.

El FBI explicó que estos sitios realizan la conversión prometida, pero los archivos devueltos incluyen programas maliciosos ocultos. Estos permiten el acceso remoto al dispositivo infectado y, en muchos casos, realizan una extracción automatizada de datos privados (“scraping”) directamente de los archivos subidos. Entre la información más buscada se encuentran números de seguridad social, fechas de nacimiento, contraseñas, correos electrónicos, datos bancarios y credenciales de criptomonedas, como direcciones de monederos o frases semilla. Según CBS News, esta técnica ya ha provocado múltiples pérdidas entre consumidores estadounidenses.

La agencia señaló que muchas víctimas no detectan la infección hasta que sus equipos han sido comprometidos o han perdido el control de sus cuentas personales. “La mejor forma de frustrar a estos estafadores es educar a la gente para que no caiga en sus trampas”, afirmó Mark Michalek, agente especial a cargo de la oficina del FBI en Denver, en declaraciones recogidas tanto por el FBI como por CBS News. El funcionario instó a reportar todos los casos al portal oficial IC3.gov, incluso si no se llegó a concretar el robo.

Modus operandi y consecuencias

Según el FBI Denver, los estafadores operan desde distintas partes del mundo y se apoyan en la apariencia legítima de estas herramientas gratuitas para engañar a los usuarios. Los sitios ofrecen servicios aparentemente inofensivos, como convertir un archivo .doc a .pdf o fusionar varias imágenes en un solo documento. Una vez que la víctima descarga el archivo convertido, el malware se activa, otorgando a los atacantes acceso total al sistema.

El daño puede ser inmediato o prolongado. En algunos casos, los ciberdelincuentes instalan ransomware (un tipo de virus utilizado por hackers para bloquear archivos y exigir un rescate a cambio de devolver el acceso), bloqueando el acceso a los archivos del usuario y exigiendo un pago en criptomonedas a cambio de restablecer el control. En otros, se trata de una intrusión silenciosa que permite la recolección de datos personales durante semanas sin ser detectada. Según el FBI, es habitual que los usuarios no se percaten de la infección hasta que sufren un bloqueo total del equipo o descubren movimientos bancarios irregulares.

El ransomware Medusa, activo desde 2021 y descrito en otro informe oficial del FBI, forma parte del ecosistema delictivo vinculado a estas herramientas. Medusa utiliza técnicas avanzadas como phishing, ingeniería social y distribución de archivos maliciosos disfrazados de servicios legítimos para infiltrarse en redes personales y corporativas. También se vale de programas comunes como AnyDesk o PsExec para expandirse dentro de un sistema infectado, según la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA).

Recomendaciones oficiales y advertencias adicionales

Para evitar este tipo de ataques, el FBI recomienda mantener actualizado el software antivirus, escanear todos los archivos descargados antes de abrirlos y evitar el uso de convertidores gratuitos no verificados. También se aconseja activar la autenticación en dos pasos, actualizar sistemas operativos y no pagar rescates en caso de infección con ransomware, ya que no hay garantía de que los datos sean recuperados.

En caso de haber sido víctima, el FBI insta a cambiar todas las contraseñas desde un dispositivo limpio, contactar de inmediato a las instituciones financieras afectadas y llevar el equipo a un servicio técnico especializado en eliminación de virus y malware. Las denuncias deben hacerse en www.ic3.gov, el portal oficial del Centro de Quejas por Delitos en Internet.

A pesar de estas recomendaciones, expertos en ciberseguridad como Roger Grimes, citado por CBS News, advirtieron que la respuesta institucional omite una de las estrategias más efectivas: la educación en seguridad digital. Grimes señaló que entre el 70% y 90% de los ataques exitosos involucran ingeniería social, como correos electrónicos fraudulentos. A su juicio, “poner más cerraduras en las puertas cuando los ladrones entran por las ventanas” no resuelve el problema de fondo.