Abrir adjuntos de forma segura

Módulo 2: Leer correo · Tiempo de lectura: 9 minutos

Objetivo de aprendizaje: Después de esta lección sabrá cómo va un adjunto dentro de un correo, qué tipos de archivo son peligrosos y por qué, cómo leer un nombre de archivo y qué hacer si tiene dudas.

Conceptos clave: MIME, adjunto, base64, extensión de archivo, archivo ejecutable, macro, adjunto html, doble extensión, vista previa en el navegador, otro canal

Cómo va un adjunto dentro de un correo

Técnicamente, un correo es solo texto. Aun así, puede enviar con él fotos, PDF y hojas de cálculo. Esto es posible gracias a MIME: un acuerdo sobre cómo dividir un correo en partes. Un correo con un adjunto tiene al menos dos partes: el texto del mensaje y el archivo. Cada parte tiene sus propias cabeceras, por ejemplo:

Content-Type: application/pdf; name="offerte-bruidsboeket.pdf"
Content-Disposition: attachment; filename="offerte-bruidsboeket.pdf"
Content-Transfer-Encoding: base64

JVBERi0xLjcKJcfsj6IKNSAwIG9iago8PC9MZW5ndGggNiAwIFIvRmlsdGVy
...

El archivo en sí se convierte en texto con base64: cada 3 bytes se convierten en 4 caracteres. Por eso un adjunto crece aproximadamente un tercio por el camino. Encontrará más información al respecto en la lección 3.3. Con Más > Mostrar código puede verlo usted mismo en cualquier correo con un adjunto.

Lo más importante: el nombre del archivo y el tipo de archivo (Content-Type) los elige el remitente. Nadie comprueba por el camino si un archivo llamado "factuur.pdf" es realmente un PDF. El nombre es una etiqueta, no una prueba.

Por qué algunos archivos son peligrosos

Un archivo es peligroso si puede hacer algo en su ordenador en cuanto lo abre. Una foto o un PDF normal le muestran algo. Un programa ejecuta órdenes. La diferencia está en la extensión de archivo: las letras que siguen al último punto del nombre. Su ordenador elige, según esa extensión, con qué programa abre el archivo.

Abra estos tipos solo si realmente los espera y ha comprobado el remitente por otro canal:

• Archivos ejecutables y scripts: .exe, .scr, .bat, .cmd, .js, .vbs, .hta. Son programas u órdenes. Abrirlos es ejecutarlos. Un cliente, proveedor o banco normal nunca le enviará algo así por correo.
• Accesos directos y archivos de disco: .lnk, .iso, .img. Un .lnk puede iniciar una orden. Windows abre un .iso o un .img como un disco adicional, y dentro suele haber a su vez un programa o un acceso directo. Los atacantes usan este envoltorio para esquivar los antivirus.
• Archivos de Office con macros: .docm, .xlsm y similares. Una macro es un pequeño programa dentro de un documento. Office suele bloquear las macros en archivos procedentes de internet, pero el ataque busca precisamente que usted las active. Un documento que le pide "Habilitar contenido" o "Habilitar edición" para poder ver el texto es una señal de alarma.
• Adjuntos html: .html o .htm. Su navegador los abre como una página web. A menudo se trata de una página de inicio de sesión falsa, por ejemplo de su webmail o de Microsoft, con su propia dirección ya rellenada. Lo que escriba va a parar al atacante. Como el archivo está en su propio ordenador, no verá ninguna dirección web sospechosa en la barra de direcciones.
• Archivos zip con contraseña, cuando la contraseña aparece en el propio correo. Un antivirus no puede mirar dentro de un archivo comprimido cifrado. Precisamente por eso lo hacen los atacantes. Un zip normal sin contraseña no es necesariamente sospechoso, pero compruebe lo que contiene antes de abrir nada.

¿Y los PDF? Un PDF suele ser seguro de ver, sobre todo en el navegador. El peligro está en lo que contiene: un botón "Ver factura" o un código QR que lleva a una página de inicio de sesión falsa. Trate un enlace en un PDF con el mismo espíritu crítico que un enlace en un correo (lección 2.4).

Lea el nombre de derecha a izquierda

De forma predeterminada, Windows oculta la extensión de los tipos de archivo conocidos. Un archivo con el nombre

offerte-bruidsboeket.pdf.exe

aparece entonces como "offerte-bruidsboeket.pdf". Para Windows solo cuenta la última extensión: esto es un programa. Tampoco el icono dice nada, porque un programa puede llevar cualquier icono, también el de un PDF.

El webmail muestra el nombre tal como figura en el correo, con todas las extensiones. Por eso, léalo en el webmail antes de descargar nada. Si el nombre es demasiado largo y aparece recortado, consulte filename en Más > Mostrar código. Empiece por la derecha: ¿qué hay después del último punto? Fíjese también en nombres largos con muchos espacios antes de la extensión real, y en nombres como "Factuur_2026_pdf.zip": contienen "pdf", pero son un zip.

Consejo para Windows: en el Explorador de archivos, active en Vista las extensiones de nombre de archivo. Así verá siempre la extensión real.

¿Ver o descargar?

Si en el webmail hace clic en el nombre de un adjunto, el webmail lo abre en una ventana nueva cuando su navegador puede mostrar ese tipo de archivo, como un PDF o una foto. Es la forma más segura de verlo: el navegador muestra el archivo dentro de su propio entorno aislado y no inicia ningún programa en su ordenador.

Si descarga un adjunto y lo abre desde su ordenador, se abrirá con el programa asociado a la extensión: Word, Excel o, en el caso de un .exe, el propio archivo. Ahí está el riesgo. Por eso, descargue solo lo que necesita y espera.

En la imagen ve un mensaje con dos fotos como adjuntos y el enlace Descargar todos los adjuntos. Ese enlace le da un único archivo zip con todos los adjuntos. Es práctico, pero así también descarga adjuntos que no ha revisado.

La confianza depende de la situación

Un adjunto no es seguro o peligroso solo por el tipo de archivo. La situación también cuenta. Hágase tres preguntas:

1. ¿Lo esperaba? Sanne le pidió a Ahmed una foto del vestido; entonces un .jpg de Ahmed tiene sentido. Una "factura" inesperada de una empresa a la que nunca compró nada, no.
2. ¿Encaja el archivo con la historia? Un presupuesto es un PDF. Un presupuesto en .html, .iso o zip con contraseña no encaja.
3. ¿Es correcto el remitente? Fíjese en la dirección y el dominio (lección 2.2). Pero atención: también un remitente auténtico puede haber sido hackeado. Si alguien se ha hecho con el buzón de Daan, un adjunto peligroso llega sin más desde daan@example.com, a menudo como respuesta en una conversación existente.

Si tiene dudas, pregunte por otro canal: llame al remitente a un número que ya tenía, o envíe un mensaje nuevo (no como respuesta al correo sospechoso). A un remitente auténtico no le parecerá raro.

¿Ha abierto de todos modos algo que no cuadra? Desconecte el ordenador de la red, cambie sus contraseñas desde otro dispositivo y pida ayuda. El curso Seguro en internet lo explica paso a paso.

En la práctica: así funciona en el webmail

En el webmail, los adjuntos aparecen encima del texto del mensaje. Haga clic en el nombre para verlo; con la flecha junto al nombre puede elegir, entre otras opciones, descargarlo. Descargar todos los adjuntos le da un único archivo zip. El manual de Roundcube describe los botones en Abrir y guardar adjuntos. En otros webmails, como Gmail u Outlook.com, funciona de forma parecida: también allí puede ver primero un adjunto en el navegador antes de descargarlo.

Resumen

• Un adjunto es una parte del correo (MIME), codificada como texto con base64; el nombre y el tipo los elige el propio remitente.
• Son peligrosos los programas y scripts, los accesos directos y archivos de disco, los archivos de Office con macros, los adjuntos html y los zip con contraseña.
• Lea un nombre de archivo de derecha a izquierda; solo cuenta la última extensión y el icono no demuestra nada.
• Ver un archivo en el navegador es más seguro que descargarlo y abrirlo.
• Si tiene dudas, compruébelo por otro canal; también un remitente conocido puede haber sido hackeado.

Cuestionario

Ejercicio

Ejercicio A2.3: ¿De qué adjuntos no se fía? El material bijlagen-1.txt se encuentra debajo de este ejercicio: diez adjuntos numerados, cada uno con el remitente y la situación en la que llegó el correo. Evalúe cada adjunto con las tres preguntas de esta lección (¿lo esperaba?, ¿encaja el archivo con la historia?, ¿es correcto el remitente?) y con lo que sabe sobre las extensiones. Introduzca los números de los adjuntos que no abriría. El programa compara su selección con la clave de respuestas y le muestra para cada adjunto si su elección es correcta, con el motivo.

Para saber más

Cuando se indican pasos en el webmail, se refieren al webmail de WebOké; en otros webmails funciona de forma parecida.

• Roundcube Webmail 3.2: Abrir y guardar archivos adjuntos
• Curso gratuito Seguridad online para empresarios 1.2: Phishing, fraude del CEO y fraude de facturas
• Curso gratuito Seguridad online para empresarios 3.5: Ha hecho clic: ¿y ahora qué?
• Buzón comprometido o spam enviado desde su dirección: así lo soluciona
• RFC 2045, MIME parte 1, con base64 (en inglés): https://www.rfc-editor.org/rfc/rfc2045