Así es como un archivo PDF roba dinero desde WhatsApp, Gmail y Outlook

Una factura pendiente, una citación judicial o un contrato para firmar llegan casi siempre en el mismo formato: PDF. Por eso abrir ese archivo se volvió un gesto automático, y los ciberdelincuentes aprendieron a usar esa confianza a su favor.

Según ESET, compañía de ciberseguridad, el PDF/Phishing se ubicó entre las amenazas más relevantes de América Latina durante el primer semestre de 2026, con más de 107.000 detecciones registradas en la región.

Los archivos PDF continúan entre los formatos más utilizados por los atacantes en campañas distribuidas por correo electrónico. En Brasil representaron alrededor del 55% de los tipos de archivo asociados a amenazas detectadas por esa vía, muy por delante de los scripts maliciosos (cerca del 25%) y de los documentos de Office (alrededor del 5%).

Qué es un PDF malicioso y por qué funciona

El término “PDF malicioso” abarca situaciones distintas. En algunos casos el riesgo está en el propio archivo, mediante scripts, objetos incrustados o vulnerabilidades explotadas. En otros, el PDF funciona como puerta de entrada a la siguiente etapa del ataque, con un enlace, un código QR o una instrucción que induce a descargar otro archivo.

Un PDF malicioso puede llegar a correos electrónicos simulando ser una factura, una notificación o un contrato con un enlace a una página falsa, un código QR que dirige a un sitio fraudulento, o elementos que exploten vulnerabilidades del lector de PDF para instalar malware sin que la víctima lo note.

También es un archivo con apariencia de documento legítimo que contiene enlaces, códigos QR o código oculto diseñados para robar credenciales, instalar malware o estafar al destinatario. Suele llegar por correo electrónico simulando facturas, notificaciones o citaciones judiciales.

“El PDF es uno de los formatos más eficaces para la ingeniería social porque forma parte de la rutina laboral de prácticamente cualquier persona. Facturas, comprobantes, documentos fiscales, contratos y documentos firmados son elementos habituales en la vida cotidiana y el trabajo”, explicó Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica.

Esa familiaridad reduce la desconfianza inicial de la víctima. A eso se suma la versatilidad técnica del formato: un PDF puede contener enlaces ocultos, códigos QR e incluso código diseñado para explotar vulnerabilidades en lectores de PDF.

Cómo roban datos y dinero con un PDF

El correo electrónico es la vía de entrada principal de estas campañas. Desde ahí, el ataque puede seguir distintos caminos para llegar al robo de información o dinero.

Uno de los escenarios más comunes es el PDF con un enlace que lleva a un sitio falso donde se roban credenciales o datos personales. Otro es el PDF con un código QR: la víctima lo escanea desde el celular y cae en un sitio fraudulento o descarga malware.

También existe el PDF con enlace que descarga otro archivo, por ejemplo un ZIP, que la víctima ejecuta y termina infectando el equipo con malware, a veces con etapas intermedias que incluyen scripts o comandos de PowerShell. Por último, hay PDF con código malicioso oculto que explota directamente una vulnerabilidad del lector para ejecutar o descargar software dañino.

En un caso observado por el equipo de ESET en Colombia, una campaña buscaba distribuir un troyano de acceso remoto (RAT) en empresas. El correo de phishing contenía un PDF adjunto con un enlace que descargaba un archivo RAR comprimido. Al extraerlo y ejecutarlo, se activaba código malicioso que descargaba un dropper, y ese dropper ejecutaba automáticamente el troyano de acceso remoto.

“Este caso muestra uno de los métodos más habituales actualmente: utilizar el PDF como una etapa intermedia que convence a la víctima de realizar una acción que finalmente conduce a la descarga de malware”, agregó Micucci.

Cómo protegerse de un PDF malicioso

La recomendación principal es verificar el nombre y la extensión del archivo antes de abrirlo, revisar al remitente y validar el mensaje por otro canal si es posible, evitar hacer clic en enlaces o botones de “habilitar contenido” dentro del PDF, mantener actualizado el sistema y el lector de PDF, y utilizar una solución de seguridad que detecte este tipo de amenazas.

Si el archivo ya fue abierto, la recomendación es cerrarlo sin tocar enlaces ni botones, desconectar el equipo de Internet para frenar la comunicación con servidores maliciosos, contactar al soporte de TI en caso de una computadora corporativa y realizar un análisis completo con una solución de seguridad confiable.