Recibir por WhatsApp una factura, un comprobante de pago o un estado de cuenta enviado por alguien conocido no suele levantar demasiadas sospechas. Precisamente de esa confianza se está aprovechando una nueva campaña de malware detectada por Kaspersky, en la que cuentas previamente comprometidas son utilizadas para distribuir archivos maliciosos capaces de abrir la puerta al control remoto de una computadora.
La campaña fue identificada en junio de 2026 por el Equipo Global de Investigación y Análisis de Kaspersky (GReAT) y ya ha sido detectada en América Latina. El mecanismo resulta particularmente efectivo porque los archivos no necesariamente llegan desde números desconocidos o conversaciones extrañas. Los atacantes utilizan cuentas de WhatsApp comprometidas y distribuyen el contenido mediante WhatsApp Web y WhatsApp Desktop, haciendo que el mensaje aparezca dentro de una conversación que la víctima puede considerar legítima.
Los documentos utilizados como señuelo imitan facturas, extractos bancarios, estados de cuenta, registros de pago y avisos de deuda. También se han encontrado nombres de archivos en inglés, portugués, francés, alemán y malayo, una señal de que la operación está preparada para adaptarse a diferentes mercados y regiones. Aquí entra en juego la ingeniería social: una factura inesperada puede generar curiosidad, mientras que un supuesto aviso de deuda puede provocar suficiente preocupación como para abrir el archivo sin pensarlo demasiado.
El peligro comienza cuando se ejecuta el archivo, que utiliza VBScript para iniciar una cadena de instrucciones dentro de Windows. El malware crea un directorio de trabajo en la carpeta pública de documentos, recupera componentes adicionales desde infraestructura externa y los ejecuta mediante Windows Script Host. Posteriormente descarga un archivo comprimido que contiene software de supervisión y gestión remota.
Estas herramientas de acceso remoto tienen aplicaciones perfectamente legítimas en soporte técnico y administración de sistemas, pero también pueden ser aprovechadas para controlar una computadora sin autorización. Una vez conseguido ese acceso, los atacantes pueden mantener presencia dentro del dispositivo, acceder a información, desplazarse por el sistema o preparar nuevas acciones maliciosas. Algunas muestras analizadas incluso incorporan comentarios y metadatos que intentan hacerse pasar por componentes legítimos de Microsoft Windows Update para reducir las sospechas.
El caso también demuestra por qué ya no basta con asociar el malware con correos electrónicos extraños, enlaces evidentemente falsos o remitentes desconocidos. Los ciberdelincuentes están llevando estas tácticas hacia servicios que forman parte de la comunicación cotidiana, donde la confianza suele ser considerablemente mayor. WhatsApp tiene además un ingrediente especialmente peligroso: conocemos a buena parte de las personas con las que conversamos allí y, por costumbre, tendemos a bajar la guardia.
Fabio Assolini, investigador principal de seguridad de GReAT para América Latina en Kaspersky, advierte precisamente sobre ese cambio. Una conversación cotidiana puede convertirse en la vía de entrada al dispositivo cuando una cuenta conocida ha sido comprometida. Una supuesta factura o comprobante aparentemente rutinario puede terminar facilitando acceso remoto, robo de información, movimientos laterales dentro de otros sistemas o nuevas infecciones.
La recomendación más importante es sencilla: que un archivo llegue desde un contacto conocido no garantiza que sea seguro. Si aparece una factura, estado de cuenta, comprobante o aviso de deuda que nadie estaba esperando, conviene confirmar su procedencia antes de abrirlo. También hay que prestar especial atención a extensiones como .vbs, .vbe, .exe, .bat, .cmd, .js y .ps1, particularmente cuando llegan sin contexto o acompañadas de mensajes genéricos.
WhatsApp lleva años formando parte de nuestra rutina y esa familiaridad es justamente lo que hace atractiva la plataforma para este tipo de campañas. La confianza en quien aparentemente envía el mensaje ya no puede sustituir la verificación del archivo recibido. Si algo llega sin haber sido solicitado, incluso desde la cuenta de alguien conocido, abrirlo por simple curiosidad puede terminar saliendo bastante caro.
