Investigadores de Kaspersky han detectado una nueva oleada de campañas de extorsión por correo electrónico caracterizadas por un alto grado de personalización. Los mensajes fraudulentos incluyen datos personales reales, como nombres completos o números de teléfono, para ganar credibilidad y presionar a las víctimas a realizar pagos en criptomonedas.
Correos de chantaje más creíbles y peligrosos
Los ciberdelincuentes aprovechan filtraciones de datos previas para crear mensajes que parecen legítimos. En ellos, se hacen pasar por hackers, autoridades policiales o incluso supuestos asesinos a sueldo, amenazando con divulgar información sensible o causar daños físicos si no se abona el rescate.
Estas campañas, detectadas a escala global, combinan ingeniería social, suplantación de identidad y técnicas avanzadas diseñadas para evadir los filtros de seguridad del correo electrónico.
Este tipo de amenazas no es ajeno a España. En febrero de 2025, el Instituto Nacional de Ciberseguridad (INCIBE) alertó sobre una campaña de sextorsión en la que los atacantes amenazaban con difundir supuestos vídeos íntimos a cambio de pagos en Bitcoin. Los correos procedían de cuentas generadas al azar y utilizaban asuntos genéricos como “Tiene un pago pendiente”.
Principales modalidades de extorsión detectadas
La modalidad más común es la del falso hacker, que asegura haber accedido a los dispositivos de la víctima, incluidas cámaras y micrófonos. Afirma poseer grabaciones comprometedoras o el historial de navegación y amenaza con hacerlo público si no recibe un pago, normalmente de varios cientos de dólares en criptomonedas. Para reforzar el engaño, estos correos suelen incluir detalles técnicos o consejos de seguridad que coinciden con buenas prácticas reales.
Otra variante especialmente alarmante es la suplantación de sicarios o asesinos a sueldo. En este caso, el remitente asegura haber recibido un “encargo” para matar a la víctima, pero ofrece cancelar la supuesta misión a cambio de un pago mayor. El mensaje incluye una dirección de monedero de criptomonedas y se apoya casi exclusivamente en el miedo como mecanismo de presión. En marzo de este año, la Policía Nacional desarticuló una organización que había estafado a más de 2.000 personas y obtenido más de dos millones de euros mediante este método.
A estas variantes se suman las falsas notificaciones de organismos oficiales. Los estafadores se hacen pasar por agencias como Europol o por fuerzas de seguridad nacionales y envían citaciones judiciales falsas en formato PDF o DOC, con sellos y firmas falsificados. Tras un primer contacto, solicitan el pago de una supuesta multa en criptomonedas para evitar un inexistente proceso penal. Este tipo de estafas se ha observado con frecuencia en varios países europeos y en idiomas como español, francés y portugués.
Técnicas de evasión y recomendaciones de seguridad
“Para esquivar las soluciones de seguridad, los ciberdelincuentes emplean técnicas de evasión cada vez más sofisticadas”, explica Anna Lazaricheva, analista sénior de spam en Kaspersky. Entre ellas destacan la ocultación del contenido en archivos adjuntos, la mezcla de alfabetos, el uso de marcas diacríticas mediante código HTML, la alternancia de fuentes o la introducción de símbolos aleatorios, logrando que cada correo sea único para los filtros automáticos pero legible para la víctima.
Desde Kaspersky recomiendan extremar la precaución y seguir estas pautas básicas:
Verificar el remitente y el campo Reply-To.
No abrir archivos ni enlaces sospechosos.
Desconfiar de formatos irregulares o caracteres extraños.
Recordar que las fuerzas del orden no envían citaciones por correo electrónico ni solicitan pagos en criptomonedas.
Comprobar la veracidad de los organismos y leyes mencionados.
- Reportar los intentos de fraude y mantener actualizadas las soluciones de seguridad.
