En caso de duda, antes de pinchar y descargar cualquier archivo, hay que verificar la información por una vía independiente
“No escanees cualquier QR”: la Guardia Civil alerta del timo que suplanta multas, menús o parkings para colarte malware o cobros
Recibes un correo que llega con la solemnidad de una comunicación institucional. En el asunto, una palabra concebida para desactivar la sospecha como "NOTIFICACIÓN", "CITACIÓN", "COMUNICAR". En el remitente, una dirección que reproduce con precisión el aspecto de un dominio público conocido. En el cuerpo, un texto breve que urge al destinatario a revisar una supuesta obligación legal, administrativa o económica, y adjunto un archivo con extensión .pdf cuyo nombre parece confirmar la verosimilitud del mensaje.
Bastan dos segundos de descuido y hacer doble clic sin haber comprobado antes el remitente ni el enlace, para que nuestro ordenador quede infectado con un troyano bancario, un secuestrador de sesiones o un extractor de credenciales.
El falso correo de la Policía Nacional
Recientemente se avisó de una campaña de fraude que suplantaba a la Policía Nacional para distribuir malware. El correo alertaba a la víctima sobre una supuesta necesidad de presentarse en el "Departamento Central de la Policía Nacional en Madrid" en una fecha próxima a la recepción del mensaje, y advertía de acciones legales en caso de no acudir.
La coartada de la urgencia legal, repetida en decenas de campañas paralelas, busca precisamente eliminar el margen de reflexión del destinatario. El enlace del correo redirigía a una web sin logotipos oficiales y con una URL que no guardaba parentesco con la del organismo suplantado. Al pulsar el botón "Descargar PDF" prometido, se iniciaba la descarga de un archivo ZIP con un nombre técnicamente inequívoco (CITA8**7_4*****04) que contenía un malware de tipo troyano diseñado para robar información del dispositivo infectado.
La suplantación a la Guardia Civil y Europol
Este mismo 2026, INCIBE alertó de una campaña paralela con el mismo modus operandi, en la que se suplantaba esta vez la identidad de la Dirección General de la Guardia Civil y de Europol, aprovechando el eco mediático de la Operación Endgame como gancho de credibilidad.
Utilizaba correos con el asunto "CONVOCATORIA" y adjuntaban un archivo PDF con el nombre "NOTIFICACION_EXP_217-124 (1).pdf" que reproducía los logotipos del Ministerio del Interior, de la Brigada de Cibercriminalidad y del Centro Europeo de Cibercriminalidad de Europol. El texto informaba a la víctima de que su dispositivo había sido infectado y convertido en un "zombie" dentro de una red botnet, con la intención de generar alarma y empujar al usuario a facilitar información sensible o a responder al correo. La firma correspondía a un supuesto responsable de la Unidad Central de Ciberdelincuencia, Pascual Grisolia, que en realidad no existe.
La trampa del archivo con extensión falsa
Existe una tercera variante técnica, la del archivo que aparenta ser un PDF pero no lo es. En una campaña que suplantaba a la Agencia Tributaria, al hacer clic en el enlace del correo se descargaba un archivo comprimido cuyo contenido, al descomprimirlo, mostraba lo que parecía un documento .pdf. La comprobación de las propiedades del fichero revelaba, sin embargo, que se trataba de un ejecutable con extensión .exe.
Al abrirlo, el dispositivo quedaba infectado por un malware denominado AutoIt v3 Script, capaz de mostrar notificaciones falsas de alerta para inducir a la víctima a descargar software adicional potencialmente malicioso. Este vector aprovecha la costumbre visual del usuario y la configuración por defecto de Windows, que ocultaba durante años las extensiones reales de los archivos.
Cómo reconocer el engaño
Los correos fraudulentos comparten un puñado de rasgos reconocibles: remitente ligeramente distinto del oficial (con una letra cambiada, un subdominio añadido o una dirección personal disfrazada), texto genérico dirigido al "estimado usuario" en lugar del nombre real, exigencia de acción inmediata bajo amenaza de consecuencias legales, adjunto o enlace con nombre técnico y fecha próxima, y URL cuyo dominio no coincide con el del organismo suplantado.
Se debe tener en mente que cuando un correo institucional apremia, la única maniobra segura es no abrir el adjunto, no pulsar el enlace, y verificar por vía independiente, por ejemplo, accediendo directamente a la web oficial escribiendo su dirección en el navegador o llamando al teléfono oficial, si la comunicación existe realmente. En dos minutos de comprobación se desactiva un incidente que, si se hubiera producido, podría exigir días de reparación.
Qué puede hacer el malware una vez ejecutado
La lista de daños posibles es tan amplia y relevante que conviene conocer su alcance. Por ejemplo, el troyano bancario Grandoreiro es capaz de extraer credenciales de banca online, capturar pulsaciones de teclado y monitorizar la actividad del usuario en tiempo real.
También es posible que el malware descargado desde un supuesto PDF convierta a nuestro equipo en parte de una red botnet que permite usar el equipo comprometido para lanzar ataques a terceros sin que el propietario lo advierta, ejecutar campañas de envío masivo de correos fraudulentos o participar en operaciones de minado de criptomonedas. En los casos más agresivos, el archivo activa un ransomware que cifra los archivos personales y exige un pago para restablecer el acceso.
INCIBE compendia el protocolo de respuesta en cinco pasos consecutivos que conviene tener a mano.
- Desconectar el dispositivo de la red de inmediato para evitar que el malware se propague a otros equipos conectados.
- Realizar un análisis completo con un antivirus actualizado para detectar y eliminar posibles amenazas.
- Si se sospecha que el dispositivo sigue infectado, considerar el restablecimiento a su estado de fábrica, un proceso que borrará todos los datos almacenados y por eso conviene mantener copias de seguridad periódicas.
- Guardar todas las evidencias posibles del intento de fraude: capturas de pantalla del correo, del archivo descargado y del comportamiento anómalo, para utilizarlas al presentar denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado.
- Llamar al teléfono 017, la Línea de Ayuda en Ciberseguridad de INCIBE, que atiende gratuitamente y con confidencialidad este tipo de incidentes.