ESET registró más de 107.000 detecciones de PDF/Phishing en América Latina durante el primer semestre de 2026. Una factura, una citación judicial, un contrato: abrir un PDF ajeno es un gesto tan automático que los ciberdelincuentes lo han convertido en su vector favorito. Aquí están los casos reales de la región y los pasos para protegerse.

¿Por qué el PDF es el formato favorito del phishing?

Según la telemetría de ESET, la amenaza PDF/Phishing se ubicó entre las más relevantes de América Latina durante el primer semestre de 2026, con más de 107.000 detecciones registradas en la región. En Brasil, los PDF representaron alrededor del 55% de los tipos de archivos asociados a amenazas distribuidas por correo electrónico, muy por delante de los scripts maliciosos (alrededor del 25%) y de los documentos de Office (alrededor del 5%), según los análisis de la compañía.

La explicación es de psicología tanto como de técnica. “El PDF es uno de los formatos más eficaces para la ingeniería social porque forma parte de la rutina de prácticamente cualquier persona. Facturas, comprobantes, documentos fiscales, contratos y documentos firmados son elementos habituales en la vida cotidiana y el trabajo. Por este motivo, se reduce la desconfianza inicial de la víctima”, comenta Mario Micucci, investigador de seguridad informática de ESET Latinoamérica. La firma ya documentó en la región el poder de esta ingeniería social en casos como Telekopye, la red de estafadores en Telegram descubierta por ESET, que atacó a usuarios de Airbnb y Booking.com.

¿Qué puede hacer un PDF malicioso?

El término “PDF malicioso” abarca varias situaciones. En algunos casos el riesgo está en el propio archivo, mediante scripts, objetos incrustados o vulnerabilidades explotadas. En otros, el PDF funciona como puerta de entrada a la siguiente etapa del ataque. Un PDF malicioso puede, por ejemplo:

• Contener un enlace a una página falsa.
• Mostrar un código QR que dirige a la víctima a un sitio malicioso.
• Simular una factura, una notificación o un contrato.
• Inducir la descarga de otro archivo.
• Incorporar scripts, objetos incrustados o elementos que exploten vulnerabilidades del lector de PDF.

El escenario más común identificado por ESET es el primero: un PDF que sirve de puente entre el correo electrónico y una página de phishing o de descarga de malware, mediante un enlace o un código QR dentro del archivo. El correo sigue siendo la puerta de entrada favorita de los atacantes, y no solo por adjuntos: ya explicamos por qué un correo comprometido es más grave de lo que parece.

Colombia: un troyano disfrazado de archivo adjunto

Una campaña observada por el equipo de ESET Latinoamérica buscaba distribuir un troyano de acceso remoto (RAT) a empresas en Colombia. El flujo del ataque: un correo de phishing incluía un PDF adjunto con un enlace a un sitio web; al hacer clic se descargaba un archivo RAR comprimido y, una vez que la víctima extraía y ejecutaba el contenido, el código malicioso descargaba otro malware (dropper) y el troyano de acceso remoto se ejecutaba automáticamente.

“Este caso muestra uno de los métodos más habituales actualmente: utilizar el PDF como una etapa intermedia que convence a la víctima de realizar una acción que finalmente conduce a la descarga de malware”, agrega Micucci.

Brasil: la citación judicial que no era

El segundo caso, analizado por el investigador Moises Cerqueira, utilizaba correos que simulaban provenir del Tribunal de Justicia para distribuir malware mediante un PDF llamado “Intimacao_2194839-33.2026.8.07.1876.pdf”. Al abrirlo, la víctima veía el mensaje “Error al renderizar el documento” y un botón “Abrir documento”, diseñado para simular un problema técnico legítimo. El botón abría el navegador con una falsa verificación de seguridad mientras, en segundo plano, se descargaba un script VBS llamado 0124_INTIMACAO_.vbs. Su ejecución iniciaba una cadena de comandos en PowerShell y un loader en Python que descargaba y ejecutaba componentes maliciosos adicionales en el equipo de la víctima.

Según el análisis de ESET, la cadena de infección intentaba modificar configuraciones de seguridad, crear exclusiones en las defensas del sistema y mantener comunicación con infraestructura de comando y control. En la práctica, este tipo de ataque puede facilitar el robo de credenciales, el monitoreo de actividades sensibles, el movimiento lateral dentro de una red corporativa y la instalación de nuevas cargas maliciosas.

¿Qué hacer al recibir (o abrir) un PDF sospechoso?

ESET recomienda seguir estos pasos al recibir un archivo PDF sospechoso:

• Verificar el nombre y la extensión del archivo antes de abrirlo.
• Revisar atentamente el remitente y, si es posible, validar el mensaje por otro canal.
• Evitar hacer clic en enlaces, botones o mensajes de “habilitar contenido” dentro del PDF.
• Mantener el sistema y el lector de PDF siempre actualizados.
• Utilizar una solución de seguridad que detecte y bloquee este tipo de amenazas.

Si el PDF malicioso ya se abrió, la compañía aconseja cerrar el archivo sin hacer clic en enlaces ni botones, desconectar la computadora de Internet para cortar la comunicación con servidores maliciosos, contactar al soporte de IT si se trata de un equipo corporativo y realizar un análisis completo con una solución de seguridad confiable. Si la cuenta de correo quedó comprometida en el proceso, conviene además el protocolo de qué hacer en los primeros 15 minutos tras un hackeo.

La lección: el riesgo no siempre está en el documento

“El riesgo no siempre reside en el documento en sí. También puede estar en su apariencia legítima, en el contenido interactivo o en la forma en que se utiliza para llevar a la víctima a la siguiente etapa del ataque”, resume Micucci. Por eso, verificar el origen del adjunto, desconfiar de mensajes inesperados y mantenerse atento a las señales de fraude siguen siendo medidas esenciales de protección digital. El análisis completo de ambos casos está disponible en el artículo de WeLiveSecurity sobre el PDF malicioso en América Latina.