En resumen: Gmail y Outlook ya rechazan por defecto los ejecutables clásicos y también formatos como .iso, .img, .vhd o los accesos directos .lnk, y Office para Windows bloquea desde 2022 las macros de los documentos que llegan de internet. Lo que sigue pasando el filtro son los adjuntos HTML, los ZIP (Outlook no los bloquea) y los documentos que te piden que desactives una protección. Esta guía explica cuáles son, qué hace ya tu correo por ti y cómo abrir un adjunto dudoso sin jugártela.
¿Qué tipos de archivo se usan para infectar un ordenador?
Los que ejecutan código al abrirlos o los que sirven para esconder algo que lo ejecuta. Se pueden agrupar en cinco familias:
- Ejecutables y scripts:
.exe,.msi,.bat,.cmd,.scr,.js,.vbs,.ps1,.hta. Son programas o instrucciones que Windows ejecuta directamente. - Accesos directos:
.lnk. Parecen un icono inofensivo, pero apuntan a un programa o a un comando. - Imágenes de disco:
.iso,.img,.vhd. Al hacer doble clic en Windows se montan como si fueran una unidad, y dentro puede haber cualquiera de los anteriores. - Comprimidos:
.zip,.rar,.7z, a menudo con contraseña. Un comprimido cifrado no se puede inspeccionar sin la clave, y eso es justo lo que busca quien lo envía. - Documentos con macros y páginas HTML: un Word o Excel que pide «habilitar contenido», o un
.htmlque se abre en el navegador.
El último caso merece una explicación. Microsoft documentó en 2021 la técnica conocida como HTML smuggling: el adjunto HTML lleva el programa malicioso codificado y es el navegador quien lo reconstruye en tu equipo al abrirlo. Como el archivo dañino no viaja como tal por la red, puede esquivar los filtros que buscan adjuntos sospechosos. Entre los casos analizados por Microsoft había un ZIP con un JavaScript dentro y un archivo protegido con contraseña cuya clave venía en el propio HTML.
Si quieres entender qué hace cada tipo de amenaza una vez dentro, en nuestra explicación de los tipos de malware: virus, troyanos, ransomware y spyware está el mapa completo.
¿Qué bloquean ya Gmail y Outlook, y qué se les escapa?
Los dos rechazan una lista larga de extensiones, y los dos dejan pasar formatos de uso cotidiano que también se usan para atacar.
Gmail publica su lista de tipos de archivo bloqueados. Incluye, entre otros, .exe, .msi, .bat, .cmd, .js, .vbs, .ps1, .hta, .scr, .lnk, .iso, .img, .vhd, .jar, .dll, .apk y .dmg. Google añade tres detalles importantes: el bloqueo se aplica también cuando esos archivos van comprimidos o dentro de otro archivo; bloquea los documentos con macros maliciosas, y rechaza los comprimidos protegidos con contraseña que contienen a su vez otros archivos comprimidos. También advierte de que actualiza la lista a menudo.
Outlook hace lo mismo con su propia lista de datos adjuntos bloqueados, que se aplica a Outlook para Microsoft 365, Outlook.com y las aplicaciones de Android e iOS, entre otras versiones. Ahí están .exe, .js, .lnk, .iso, .img, .vhd, .vhdx, .ps1, .vbs, .hta, .msi, .scr, .reg o .url, junto a decenas de formatos menos conocidos.
Ahora, lo que no aparece. Ni .html ni .zip están en ninguna de las dos listas. La propia ayuda de Microsoft lo deja ver: para enviar un archivo bloqueado, sugiere comprimirlo, porque Outlook no reconoce esas extensiones como posibles amenazas. Es un consejo razonable para quien comparte un archivo legítimo, y es exactamente el hueco que aprovechan los atacantes.
Mi lectura es que estos filtros funcionan como un portero que mira la etiqueta del paquete. Detienen lo evidente y obligan al atacante a esforzarse, pero un HTML o un ZIP llegan a tu bandeja con toda normalidad.
Las macros que llegan de internet: por qué Office ya no las ejecuta
Microsoft cambió el comportamiento por defecto de Office en Windows para bloquear las macros de los archivos que proceden de internet, como los adjuntos de correo. Según su documentación, las macros VBA son una vía habitual para instalar malware y ransomware. Antes, la configuración por defecto permitía habilitar el contenido con un clic desde la barra de aviso; ahora el usuario ve un banner de riesgo de seguridad y las macros quedan bloqueadas.
El cambio llegó al Canal actual con la versión 2206, cuyo despliegue empezó el 27 de julio de 2022, y afecta a Access, Excel, PowerPoint, Visio y Word; Publisher y Project lo recibieron después. No se aplica a Office para Mac, Android, iOS ni a Office en la web.
¿Cómo sabe Office que un archivo viene de internet? Por la marca de la web (Mark of the Web), una etiqueta que Windows añade a las descargas y a los adjuntos. Microsoft explica que esa marca solo se guarda en discos con formato NTFS, no en los que usan FAT32. Y aquí está la trampa que buscan los atacantes: Microsoft indica que, para desbloquear las macros de un archivo concreto, basta con ir a sus propiedades y marcar la casilla Desbloquear. Si un documento te da instrucciones para hacer eso, el documento es el ataque.
¿Cómo abrir un adjunto dudoso sin jugártela?
Lo más seguro es no abrirlo hasta confirmar con el remitente por otra vía. Si te llega una factura, una nómina o un «documento compartido» que no esperabas, llama o escribe a esa persona usando un contacto que ya tuvieras, no respondiendo al mismo correo.
Si necesitas verlo, hay formas de reducir el riesgo:
- Respeta la Vista protegida de Office. Microsoft la describe como un modo de solo lectura en el que la mayoría de funciones de edición están desactivadas, y recomienda quedarse en ella salvo que necesites editar. Leer no requiere salir.
- Desconfía del «habilita contenido» y del «desbloquea». Ningún documento legítimo necesita que desactives una protección para enseñarte una factura.
- No abras imágenes de disco ni accesos directos que lleguen por correo. Si alguien te manda un
.isoo un.lnkpor otra vía para esquivar el filtro, esa insistencia ya es una señal. - Cuidado con los HTML que piden contraseñas o descargan algo. Un adjunto HTML que abre una página de inicio de sesión es phishing; uno que inicia una descarga, peor.
- Antes de subirlo a VirusTotal, piensa qué contiene. El servicio revisa cada archivo con más de 70 antivirus, pero su documentación avisa de que el contenido de lo que se envía puede compartirse con sus clientes de pago. Para un ejecutable sospechoso está bien; para un contrato o una nómina con tus datos, no.
Y lo que ningún consejo sustituye: un equipo al día y una copia de seguridad fuera del ordenador. Si tu sistema ya no recibe parches, revisa qué riesgo corres cuando tu ordenador deja de recibir actualizaciones. Si quieres un plan de copias que sobreviva a un ransomware, la regla 3-2-1 está explicada en la guía sobre NAS en casa o nube y cuándo compensa cada opción.
Creo que el cambio de las macros demuestra algo incómodo: durante años, la defensa recaía en que el usuario no pulsara «Habilitar contenido», y Microsoft acabó cambiando el comportamiento por defecto. La seguridad que protege es la que viene activada por defecto. Lo que queda en tus manos es pequeño pero decisivo: no ser tú quien desactive la protección porque un documento te lo pide.