Adjuntos peligrosos: qué bloquean ya Gmail y Outlook

El adjunto ya no instala nada: te roba la sesión

Microsoft registró cerca de 7.300 millones de amenazas de phishing por correo entre julio y septiembre de 2026, y casi 3.000 millones solo en septiembre, un 41% más que en agosto, según su blog de inteligencia de amenazas. El dato que debería cambiar cómo miras tu bandeja de entrada es otro: entre el 94% y el 96% de los ataques con adjunto malicioso de ese trimestre no instalaban software, sino que llevaban a la víctima a una página de inicio de sesión falsa.

Para un founder, el activo en riesgo no es el portátil: es la cuenta de correo y todo lo que cuelga de ella. Y los filtros que ya vienen activados no cubren todos los formatos que se usan para llegar hasta ahí.

¿Qué tipos de archivo se usan para infectar un ordenador?

Son dos categorías: los que ejecutan código al abrirlos y los que esconden algo que lo ejecuta. Se agrupan en cinco familias.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Ejecutables y scripts: .exe, .msi, .bat, .cmd, .scr, .js, .vbs, .ps1, .hta. Programas o instrucciones que Windows ejecuta directamente.
Accesos directos: .lnk. Parecen un icono inofensivo, pero apuntan a un programa o a un comando.
Imágenes de disco: .iso, .img, .vhd. Al hacer doble clic en Windows se montan como una unidad, y dentro puede haber cualquiera de los anteriores.
Comprimidos: .zip, .rar, .7z, a menudo con contraseña. Un comprimido cifrado no se puede inspeccionar sin la clave, y eso es exactamente lo que busca quien lo envía.
Documentos con macros y páginas HTML: un Word o Excel que pide habilitar contenido, o un .html que se abre en el navegador.

El último caso merece atención. Microsoft documentó en 2021 la técnica conocida como HTML smuggling: el adjunto HTML lleva el programa malicioso codificado y es el navegador quien lo reconstruye en tu equipo al abrirlo. Como el archivo dañino no viaja como tal por la red, esquiva los filtros que buscan adjuntos sospechosos. Entre los casos analizados por Microsoft había un ZIP con un JavaScript dentro y un archivo protegido con contraseña cuya clave venía en el propio HTML.

¿Qué bloquean ya Gmail y Outlook, y qué se les escapa?

Los dos rechazan una lista larga de extensiones y los dos dejan pasar formatos de uso cotidiano que también se usan para atacar.

Gmail publica su lista de tipos bloqueados: .exe, .msi, .bat, .cmd, .js, .vbs, .ps1, .hta, .scr, .lnk, .iso, .img, .vhd, .jar, .dll, .apk y .dmg, entre otros. Google añade tres detalles: el bloqueo se aplica también cuando esos archivos van comprimidos o dentro de otro archivo; bloquea documentos con macros maliciosas, y rechaza comprimidos protegidos con contraseña que contienen a su vez otros comprimidos.

Outlook hace lo mismo con su propia lista, aplicada a Outlook para Microsoft 365, Outlook.com y las apps de Android e iOS. Ahí están .exe, .js, .lnk, .iso, .img, .vhd, .vhdx, .ps1, .vbs, .hta, .msi, .scr, .reg o .url, junto a decenas de formatos menos conocidos.

Ahora, lo que no aparece: ni .html ni .zip están en ninguna de las dos listas. La propia ayuda de Microsoft lo deja ver cuando sugiere comprimir un archivo bloqueado para poder enviarlo, porque Outlook no reconoce esas extensiones como amenaza. Es un consejo razonable para quien comparte algo legítimo y es justo el hueco que aprovechan los atacantes.

La lista se mueve. BleepingComputer reportó que Microsoft sumó .msix y .msixbundle a los tipos bloqueados por defecto en Outlook Web y el nuevo Outlook para Windows, y que antes había hecho lo mismo con .library-ms y .search-ms (junio de 2025) y con las imágenes SVG en línea (octubre de 2025).

Y el hueco no es teórico. Según Microsoft, los adjuntos HTML y PDF juntos concentraron entre el 56% y el 62% de los ataques con payload cada mes del tercer trimestre de 2026; los HTML solos fueron el 29% en septiembre. Los ZIP y GZIP, aunque menos frecuentes, siguieron apareciendo.

¿Por qué Office ya no ejecuta las macros que llegan de internet?

Microsoft cambió el comportamiento por defecto de Office en Windows para bloquear las macros de los archivos que proceden de internet, como los adjuntos de correo. Según su documentación, las macros VBA son una vía habitual para instalar malware y ransomware. Antes, la configuración por defecto permitía habilitar el contenido con un clic desde la barra de aviso; ahora aparece un banner de riesgo de seguridad y las macros quedan bloqueadas.

El cambio llegó al Canal actual con la versión 2206, cuyo despliegue empezó el 27 de julio de 2022, y afecta a Access, Excel, PowerPoint, Visio y Word; Publisher y Project lo recibieron después. No se aplica a Office para Mac, Android, iOS ni a Office en la web.

¿Cómo sabe Office que un archivo viene de internet? Por la marca de la web (Mark of the Web), una etiqueta que Windows añade a las descargas y a los adjuntos. Microsoft explica que esa marca solo se guarda en discos con formato NTFS, no en FAT32. Y aquí está la trampa: para desbloquear las macros de un archivo concreto basta con ir a sus propiedades y marcar la casilla Desbloquear. Si un documento te da instrucciones para hacer eso, el documento es el ataque.

El ataque que llegó en español

El 21 de septiembre de 2026, Microsoft detectó una campaña dirigida a más de 56.000 usuarios en más de 8.100 organizaciones, con Colombia como país con más destinatarios previstos (15%), seguido de Estados Unidos (12%), México (12%), Chile (11%) y España (8%).

Los señuelos eran dos, ambos cotidianos: una orden de compra con el asunto «Re: solicitud de cotización» y una nómina con el asunto «Nomina 21.09.2026». El adjunto se llamaba Nuevo orden de compra – 21092026.pdf.uu y era en realidad un RAR: dentro, un JavaScript que descargaba un PowerShell y terminaba en Agent Tesla, un malware que roba credenciales. Los registros SPF, DKIM y DMARC del dominio remitente pasaron, así que el mensaje no dependía de falsificar la dirección.

La lección para tu equipo: el filtro de autenticación del remitente no te salva si el remitente es legítimo o está comprometido. Lo que te salva es desconfiar del contexto.

¿Cómo abrir un adjunto dudoso sin jugártela?

Lo más seguro es no abrirlo hasta confirmar con el remitente por otra vía. Si te llega una factura, una nómina o un documento compartido que no esperabas, llama o escribe a esa persona usando un contacto que ya tuvieras, no respondiendo al mismo correo.

Si necesitas verlo, hay formas de reducir el riesgo:

Respeta la Vista protegida de Office. Microsoft la describe como un modo de solo lectura con la mayoría de funciones de edición desactivadas. Leer no requiere salir de ella.
Desconfía del «habilita contenido» y del «desbloquea». Ningún documento legítimo necesita que desactives una protección para enseñarte una factura.
No abras imágenes de disco ni accesos directos que lleguen por correo. Si alguien te manda un .iso o un .lnk por otra vía para esquivar el filtro, esa insistencia ya es una señal.
Cuidado con los HTML que piden contraseñas o descargan algo. Un adjunto HTML que abre una página de inicio de sesión es phishing; uno que inicia una descarga, peor.
Antes de subirlo a VirusTotal, piensa qué contiene. El servicio revisa cada archivo con más de 70 antivirus, pero su documentación avisa de que el contenido puede compartirse con sus clientes de pago. Para un ejecutable sospechoso está bien; para un contrato con datos de tus clientes, no.

¿Qué significa esto para tu startup?

Tres movimientos concretos, en orden de impacto.

1. Audita tus excepciones antes que tus filtros. Microsoft detectó unos 129 millones de mensajes maliciosos suplantando dominios de servicios empresariales en el tercer trimestre de 2026, y en septiembre las excepciones configuradas por la organización o el usuario se aplicaron al 63% de los mensajes con resultado de seguridad registrado. Muchos llegaron a la bandeja después de fallar la autenticación y de ser identificados como maliciosos. Si en tu empresa alguien creó una regla para que no se bloquearan las facturas de un proveedor, esa regla es la puerta.

2. Cambia el canal para compartir archivos. Si tu equipo se manda .zip, .html o .iso por correo, estáis usando el único canal que no podéis inspeccionar. Un enlace a Drive, SharePoint o S3 con permisos por persona y caducidad resuelve el mismo problema sin depender del filtro de nadie.

3. Pasa a autenticación sin contraseña. Microsoft recomienda métodos como Windows Hello, llaves FIDO o Microsoft Authenticator para las cuentas que lo soportan, y MFA con app de autenticación para el resto. Es la única defensa que sigue en pie cuando el ataque no instala nada y solo quiere tu sesión.

Añade dos cosas que no son opcionales: un plan de copias que viva fuera del ordenador (la regla 3-2-1 sigue siendo el estándar) y equipos con parches al día. Ningún consejo de comportamiento sustituye eso.

Conclusión

El cambio de las macros deja una lección incómoda: durante años la defensa dependía de que el usuario no pulsara «Habilitar contenido», y Microsoft acabó cambiando el comportamiento por defecto. La seguridad que protege es la que viene activada por defecto. Lo que queda en tus manos es pequeño pero decisivo: no ser tú quien desactive la protección porque un documento te lo pide, y no dejar que una excepción bienintencionada abra el agujero que el filtro acababa de cerrar.