¿Un PDF puede tener virus? Cómo protegerse

Los archivos PDF están por todas partes: facturas, currículums, libros electrónicos, entradas e informes. Pero el tema es que no todos los archivos PDF son seguros: algunos están infectados con malware que puede instalar spyware de forma silenciosa, robar tus datos de inicio de sesión o secuestrar tu dispositivo. ¿Y sabes lo peor? Que muchas de estas infecciones se ejecutan de forma silenciosa en segundo plano, por lo que, cuando las descubres, el daño ya está hecho.

A los hackers les encantan los PDF porque parecen inofensivos. Se cuelan a través de los filtros de correo electrónico, parecen de fiar y mucha gente no se lo piensa dos veces antes de abrirlos. De hecho, más del 20 % de todas las amenazas por correo electrónico usan archivos PDF adjuntos, lo que los convierte en el tipo de archivo más común para distribuir malware en campañas de phishing.

¿La buena noticia? Que puedes protegerte sin volverte paranoico. En esta guía te explicamos cómo funcionan los PDF infectados y qué puedes hacer para protegerte.

¿Puede un PDF tener virus?

Sí, los PDF pueden tener virus y otro malware. Aunque parezca que un PDF solo contiene texto e imágenes, puede incluir scripts, enlaces o elementos multimedia incrustados. Los atacantes aprovechan precisamente esa flexibilidad para ocultar código malicioso en archivos que, a simple vista, parecen inofensivos.

Como se ha mencionado anteriormente, la gente suele confiar en los PDF, lo que los convierte en el objetivo preferido de los atacantes. Pueden ser programadas para ejecutar JavaScript, lanzar comandos ocultos o aprovechar los errores de tu lector de PDF para comprometer tu sistema. Algunos incluso usan objetos ocultos o de cifrado diseñados para eludir la detección de los antivirus, permaneciendo inactivos hasta que se abre el archivo.

Maneras comunes en las que los PDF se pueden infectar

No todo el malware en PDF parece sospechoso. De hecho, algunos PDF maliciosos están diseñados para parecer completamente inofensivos: una factura escaneada, una oferta de trabajo, un libro electrónico o incluso una tarjeta de embarque. Pero, en realidad, esto es lo que los atacantes pueden incrustar:

• Ataques basados en JavaScript: algunos PDF tienen JavaScript incrustado que se ejecuta tan pronto como abres el archivo. Pueden descargar malware, enviarte a un sitio de phishing o aprovechar los errores de tu lector de PDF.
• Archivos incrustados o ejecutables: los atacantes pueden ocultar otros archivos, como scripts .exe o .bat, dentro de un PDF. Si te engañan para que los abras, pueden ejecutar malware al instante.
• Kits de exploits: los archivos PDF pueden diseñarse para aprovechar fallos de seguridad ya conocidos en lectores de PDF obsoletos. Si tu software no está actualizado, un PDF malicioso puede usar esa laguna para instalar troyanos o spyware.
• Enlaces de phishing: no todos los ataques se basan en código. Algunos archivos PDF se utilizan simplemente para mostrar formularios de inicio falsos o engañarte para que hagas clic en un enlace a una web que ofrece hosting de malware.
• Ingeniería social: es posible que un PDF no sea malicioso por sí mismo, pero podría pedirte que habilites funcionalidades como «macros» o «contenido mejorado». Estas solicitudes suelen aparecer cuando abres el archivo en un lector de PDF como Adobe Acrobat, y aceptarlas puede desencadenar el ataque real.

¿Puede un PDF infectar tu dispositivo sin abrirlo?

Aquí es donde las cosas se complican un poco más. En la mayoría de los casos, un PDF no puede infectar tu dispositivo a menos que lo abras. El simple hecho de tener el archivo en tu carpeta de descargas no suele ser suficiente para desencadenar un ataque.

Sin embargo, hay excepciones. Algunas aplicaciones de correo electrónico y exploradores de archivos (como Mac Finder o Windows Explorer) muestran automáticamente una vista previa de los PDF. Si hay un error en alguna de las funciones de previsualización, podría activar código malicioso, sin que tengas que hacer clic. Sin embargo, estos ataques «sin clics» son poco frecuentes y suelen usarse en campañas de spyware dirigidas contra personas de alto perfil, no contra usuarios comunes.

En la mayoría de los casos, es necesario abrir o interactuar con un PDF malicioso para desencadenar el ataque. No obstante, una vez abierto el archivo, si ha sido diseñado para explotar una vulnerabilidad en tu lector o sistema, la situación puede deteriorarse rápidamente.

¿Qué ocurre si abres un PDF malicioso?

Abrir un PDF malicioso no siempre tiene consecuencias dramáticas; puede pasar desapercibido. Lo que ocurra dependerá del tipo de malware que se esconda en su interior y de si tu sistema tiene vulnerabilidades que el archivo esté diseñado para explotar.

Esto es lo que puede hacer un PDF malicioso:

• Ejecutar un script oculto: los PDF maliciosos pueden incluir JavaScript que se ejecuta en el momento en que abres el archivo. Estos scripts pueden descargar malware, conectarse a servidores remotos o manipular silenciosamente tu sistema. Adobe tiene confirmado que los PDF pueden ejecutar acciones ocultas sin que el usuario lo sepa.
• Redirigir a una web de phishing: algunos archivos PDF abren un enlace en el momento en que haces clic o interactúas con ellos. Puede parecer una página de inicio de sesión, un portal de facturación o algo familiar, pero es una trampa para robar tus credenciales.
• Aprovechar una vulnerabilidad del software: si usas una versión obsoleta de Adobe Reader, Foxit u otra aplicación de PDF, un archivo infectado puede aprovechar errores conocidos para ejecutar código malicioso. Así es como se cuelan muchos troyanos y herramientas de spyware.
• Activar herramientas de acceso remoto: algunos archivos PDF infectados pueden instalar herramientas de acceso remoto, lo que permite a alguien tomar el control de tu sistema. Es más común en ataques dirigidos, pero los usuarios normales no son completamente inmunes.

Como la mayoría de los ataques no dejan señales evidentes, los usuarios a menudo no se dan cuenta de que su sistema ha sido comprometido hasta que es demasiado tarde.

Cómo analizar si un PDF tiene virus o malware

Como se ha mencionado anteriormente, un PDF no tiene por qué parecer sospechoso para ser peligroso. Por eso, siempre es recomendable analizarlo antes de abrirlo, especialmente si procede de un remitente desconocido, un correo electrónico sospechoso o incluso un contacto de confianza cuya cuenta podría haber sido hackeada.

Ten en cuenta que analizar el documento antes de abrirlo solo es posible si no está protegido con contraseña. Si lo está, tendrás que introducir la contraseña para desbloquearlo y luego escanearlo. Si realmente sospechas de un PDF protegido con contraseña y no puedes confirmar su autenticidad, lo mejor es simplemente eliminarlo.

A continuación te explicamos cómo escanear un PDF de forma segura.

Guía paso a paso para analizar un PDF antes de abrirlo

Paso 1: Comprueba los metadatos del PDF y los datos del remitente

Empieza con un trabajo de investigación básico. Fíjate en:

• La dirección de correo electrónico del remitente: busca errores ortográficos o dominios sospechosos (por ejemplo, factura@pagos-seguros-12822.com).
• El nombre del archivo: los nombres genéricos como documento.pdf o curriculum_final.pdf son comunes en el phishing.
• Los metadatos dentro del archivo: puedes ver los metadatos del PDF usando herramientas como PDFinfo o ExifTool. Fíjate en cosas como:

• Ausencia de nombres de autores o nombres genéricos como «admin» o «usuario».
• Herramientas de creación que no coinciden con el propósito del archivo (por ejemplo, un «currículum» creado con una impresora PDF o un software desconocido).
• Fechas que no coinciden con la fecha de envío del archivo.
• Campos vacíos o sospechosos (como un título en blanco o palabras clave extrañas).

En este ejemplo, el campo Productor muestra «Skia/PDF m136 Google Docs Renderer», lo cual tiene sentido porque el archivo se creó en Google Docs. En cambio, si ves metadatos que no coinciden con el origen del archivo, como si falta información sobre el autor o se indica una herramienta de creación inusual, procede con precaución.

Paso 2: Usa un escáner de PDF en Internet para una detección rápida

Existen varios servicios gratuitos en Internet que analizan archivos usando decenas de motores antivirus:

• VirusTotal
• Jotti’s Malware Scan
• MetaDefender Cloud

Sube el PDF a una de estas plataformas, que analizarán los archivos en busca de malware conocido y detectarán cualquier elemento sospechoso. No abras nunca el archivo antes de escanearlo y no lo arrastres directamente desde tu correo electrónico (en Chrome, es fácil arrastrarlo de la manera que lo abre accidentalmente). Descárgalo primero para mantenerte a salvo.

Paso 3: Escanea el PDF a nivel local con un antivirus

Si ya usas un antivirus (y deberías hacerlo), escanea el archivo manualmente antes de abrirlo:

• Haz clic con el botón derecho del ratón en el archivo y selecciona «Escanear con (tu antivirus)».
• Comprueba el informe del escaneo y, aunque indique que el archivo está limpio, mantén la precaución. Algunos programas maliciosos pueden evadir la detección, por lo que, si el archivo tiene otras señales de alerta, no lo abras.

Las herramientas antivirus son más propensas a detectar amenazas en archivos PDF si el malware utiliza métodos de ataque conocidos o incluye contenido dañino detectable.

Qué hacer si tu escáner de PDF detecta un virus

Tu escáner detecta algún problema en un PDF. ¿Y ahora qué? Si el análisis indica que está infectado, no lo abras; simplemente elimínalo. No obstante, si ya lo has abierto y el análisis confirma que es dañino, deja de usar el archivo inmediatamente. Muchos programas maliciosos no montan un gran escándalo; tan solo se ejecutan silenciosamente en segundo plano, causando daños mientras todo parece normal.

A continuación te explicamos cómo actuar sin empeorar las cosas.

Pasos que seguir tras un análisis antivirus positivo

Cómo eliminar o poner en cuarentena de forma segura un PDF malicioso

La mayoría de las herramientas antivirus te permiten poner el archivo en cuarentena; usa las que estén disponibles. De lo contrario, elimínalo inmediatamente y vacía la papelera. No lo abras ni lo guardes «solo por si acaso».

Lista de verificación rápida:

• ¿No lo has abierto? Bien.
• ¿No lo has compartido ni reenviado? Mejor aún.
• ¿No está oculto en tus carpetas en la nube o en tus copias de seguridad sincronizadas? Compruébalo de nuevo.

Ejecuta un análisis completo del sistema, solo por si acaso otras amenazas han logrado colarse. Aunque no hayas abierto el archivo, es aconsejable comprobar si hay algo más que pueda tener la capacidad de infiltrarse de alguna manera en tu sistema.

Cómo protegerse de los PDF maliciosos

¿La mejor defensa? No abrir archivos PDF sospechosos. Es más fácil decirlo que hacerlo, pero algunos hábitos inteligentes pueden llegar a ser una gran ayuda. No es necesario ser un experto en ciberseguridad, solo hay que ser escéptico y tener la configuración de seguridad optimizada.

Evitar descargar archivos PDF de fuentes desconocidas

Aquí es donde la mayoría de la gente comete errores: un correo electrónico cualquiera, una plantilla «gratuita», un documento filtrado.

Si no conoces la fuente, no lo descargues. Incluso los archivos PDF que parecen estar limpios pueden contener malware. No despiertan las mismas sospechas que los archivos ejecutables (.exe) para la mayoría de los usuarios.

Verifica siempre los remitentes de los archivos PDF

¿Has recibido un archivo PDF en tu bandeja de entrada? Antes de abrirlo, pregúntate:

• ¿Conozco a esta persona?
• ¿El correo electrónico es auténtico (sin caracteres o dominios extraños)?
• ¿Estaba esperando este archivo?

Si algo te parece raro, no lo abras, aunque provenga de alguien que conozcas. Es posible que su cuenta haya sido hackeada, y es mejor comprobarlo y asegurarse que descubrir que era una trampa.

Desactiva JavaScript en tu lector de PDF

La mayoría de la gente no sabe que los PDF pueden ejecutar scripts, pero pueden hacerlo. Y a los atacantes les gusta aprovechar eso. JavaScript permite utilizar formularios y funciones interactivas, pero también está detrás de muchos de los ataques más desagradables a archivos PDF. Si no necesitas esas funcionalidades (y la mayoría de nosotros no las necesitamos), desactivar JavaScript es una de las maneras más sencillas de protegerte.

A continuación te explicamos cómo ajustar la configuración en dos de los lectores más populares: Adobe Acrobat y Foxit. Ten en cuenta que si abres el PDF en el visor predeterminado de Chrome, no hay forma de desactivar JavaScript, pero como Chrome solo permite funciones JavaScript muy básicas y usa un entorno aislado, sigue siendo bastante seguro.

En Adobe Acrobat Reader:

1. Ve a Editar > Preferencias.
   
2. Selecciona JavaScript y, a continuación, desactiva Habilitar JavaScript de Acrobat.
   

Para Foxit Reader:

1. Ve a Archivo > Preferencias.
   
2. A continuación, selecciona JavaScript y desmarca Habilitar acciones de JavaScript.
   

Por qué JavaScript en los PDF supone un riesgo para la seguridad

JavaScript en un navegador se ejecuta dentro de un entorno aislado, lo que significa que hay restricciones en sus permisos. Además, los lectores de PDF modernos tienen dos contextos de JavaScript, privilegiado y no privilegiado, y los PDF solo tienen acceso al no privilegiado. Esto suele impedir que el archivo PDF haga cambios dañinos.

Sin embargo, en algunos lectores de PDF, especialmente en los más antiguos, hay vulnerabilidades que permiten que los scripts dañinos se ejecuten sin restricciones y dañen tu sistema.

JavaScript se puede usar para:

• Ejecutar código malicioso en cuanto se abre el documento, a menudo sin que te des cuenta.
• Robar datos, instalar malware o manipular archivos en tu sistema si se abre en un lector vulnerable.
• Superar la detección ocultando u ofuscando el código, lo que dificulta que las herramientas antivirus lo detecten.

Los atacantes aprovechan estas capacidades para crear archivos PDF que parecen inofensivos, pero que actúan de forma maliciosa en segundo plano. Además, dado que cada lector de PDF trata JavaScript de forma diferente, algunos son más vulnerables que otros.

Por eso se recomienda desactivar JavaScript, a menos que realmente lo necesites para cosas como formularios interactivos, firmas digitales o medios incrustados. Si no estás seguro, simplemente déjalo desactivado.

Actualiza tu software y tu sistema operativo

Mantener tu software actualizado reduce el riesgo de que un PDF malicioso aproveche vulnerabilidades conocidas. Muchos ataques se aprovechan de errores antiguos en lectores de PDF, navegadores o sistemas operativos obsoletos.

Activa las actualizaciones automáticas si aún no lo has hecho e instala los parches de seguridad tan pronto como estén disponibles. Si te interesa protegerte más allá de las meras actualizaciones, estos cursos gratuitos sobre ciberseguridad son una forma estupenda de reforzar tus habilidades en materia de seguridad en Internet.

Cómo los parches de seguridad evitan los exploits de PDF

Cada vez que se descubre una nueva vulnerabilidad, como una que permite a los PDF ejecutar código malicioso, los servicios de software PDF se apresuran a publicar una corrección. Estas correcciones se distribuyen en forma de actualizaciones.

Si omites las actualizaciones, tu sistema seguirá siendo vulnerable mucho después de que el exploit del documento se haga público. En ese momento, los atacantes buscan sistemas sin parches. No seas uno de ellos.

Cómo denunciar un PDF malicioso

Si detectas un PDF sospechoso o confirmado como malicioso, no te limites a eliminarlo y seguir con tu rutina. Denunciarlo puede ayudar a detener su propagación, sobre todo si lo has recibido a través de un enlace público, un correo electrónico o una plataforma que otras personas usan.

Denuncia un PDF malicioso a Google Safe Browsing

Si el archivo procedía de un enlace, por ejemplo, de una web o de Google Drive, puedes denunciar la URL a Google Safe Browsing. Esto ayuda a Google a advertir a otros usuarios que podrían hacer clic en ese enlace más adelante.

Para hacerlo:

1. Ve a Google Safe Browsing Report y pega la URL sospechosa (no el archivo en sí, solo el enlace a él.
   
2. Marca la casilla «No soy un robot».
   
3. Selecciona un motivo en Categoría.
   
4. Añade contexto si lo tienes: qué pretendía ser el enlace, dónde lo encontraste, etc.
   
5. Haz clic en Enviar denuncia.
   

Si suficientes personas denuncian el mismo enlace, Google puede bloquearlo en Chrome y otros navegadores que usan la protección de Navegación segura.

Envía una muestra del PDF infectado a tu servicio antivirus

Las empresas de antivirus dependen de las denuncias de los usuarios para mejorar sus sistemas de detección. Si un archivo ha sido detectado (o ha pasado desapercibido), envíalo a tu antivirus para que lo analicen.

Solo tienes que seguir las instrucciones de carga. Algunos solicitan una versión comprimida del archivo con una contraseña como «infectado» o «virus» (no lo abras tú mismo, solo súbelo). Si el archivo no ha sido detectado, enviarlo ayuda a mejorar la detección para otros usuarios.

Las herramientas de seguridad suelen basarse en bases de datos compartidas de amenazas. Cuando subes un archivo malicioso, ayudas a los fabricantes a reforzar sus motores de detección y a detectar amenazas similares más rápidamente en futuros análisis. Además, si tu antivirus no lo ha detectado, tu notificación podría alertar a otros de algo nuevo que se está colando entre sus defensas.

¿Se usan habitualmente los PDF en los ataques de phishing?

Sí, los PDF son perfectos para el phishing. Parecen inofensivos, la gente confía en ellos y se cuelan entre los filtros que detectan amenazas más evidentes.

Si alguna vez has recibido un archivo etiquetado como «factura», «pago» o «urgente» y ha aparecido de la nada, probablemente se trataba de un intento de phishing.

Señales de que un PDF es un intento de phishing

Muchos PDF de phishing parecen bastante convincentes. Pero hay algunas cosas a las que debes prestar atención:

• Títulos genéricos y vagos: nombres como «Información importante» o «Extracto_2024.pdf» están diseñados para que entres en pánico y hagas clic.
• Remitentes inesperados: a menudo, los PDF de phishing afirman provenir de bancos, empresas de mensajería o departamentos de recursos humanos.
• Páginas de inicio de sesión dentro del PDF: los archivos legítimos rara vez solicitan credenciales.
• Enlaces que llevan a sitios extraños: pasa el cursor por encima de cualquier enlace antes de hacer clic. Si te llevan a una URL extraña o no se corresponden con la empresa de la que dicen proceder, es una señal de alarma.
• Errores ortográficos o formato extraño: muchos archivos PDF de phishing tienen errores tipográficos y ortográficos. Esto puede ser una táctica deliberada para garantizar que solo las personas más vulnerables lo confundan con uno legítimo, y esas son las mismas personas que son menos propensas a denunciarlo o a reclamar daños y perjuicios.

Pasos que debes seguir si recibes un PDF sospechoso

Si un PDF te parece sospechoso, aunque sea un poco, esto es lo que debes hacer:

1. Analízalo primero: usa un escáner online de confianza (como VirusTotal) para verificar el archivo antes de abrirlo.
2. Si detecta algo, elimínalo: no lo abras, ni siquiera para comprobarlo. Elimínalo inmediatamente.
3. Verifica con el remitente si procede de alguien que conoces: pero no respondas al mismo correo electrónico. Ponte en contacto con él a través de un nuevo correo electrónico u otra plataforma de confianza.
4. Denúncialo si ha llegado por correo electrónico: la mayoría de los servicios de correo electrónico tienen una opción para denunciar el phishing.
5. Elimínalo: no lo guardes «por si acaso».

Cómo prevenir los ataques de phishing con archivos PDF

No se trata solo de detectarlos, sino de hacer que sea más difícil que te conviertas en un objetivo:

• Usa filtros de spam potentes con protección contra el phishing. La mayoría de las aplicaciones de correo electrónico tienen filtros integrados. Comprueba tu configuración para habilitar el filtrado avanzado o las listas de remitentes seguros (las cuentas de trabajo pueden tener protección adicional gestionada por el departamento de informática).
• No abras archivos adjuntos inesperados, aunque parezcan legítimos.
• Desactiva JavaScript en tu lector de PDF.
• Tómate tu tiempo; el phishing funciona porque te presiona para que actúes rápido.

Además, si quieres mejorar en la detección del phishing en general, ExpressVPN tiene una guía útil sobre señales de alerta del phishing que vale la pena guardar en tus favoritos.

¿Quieres estar al tanto? Echa un vistazo a las 10 estafas más comunes que debes conocer, incluyendo el phishing y otros trucos a los que debes prestar ver. ¿Necesitas una visión más amplia? Esta guía rápida explica qué es la ciberseguridad y por qué es importante.

Qué hacer si abres un PDF sospechoso

Has hecho clic en un PDF que parecía legítimo, pero ahora no estás seguro. No te asustes. Si actúas con rapidez, normalmente puedes evitar que la situación empeore.

Medidas inmediatas que debes tomar después de abrir un PDF malicioso

1. Desconéctate de Internet: si el archivo ha activado algo sospechoso, cortar la conexión impedirá que envíe datos. Desactiva el Wi-Fi o desconecta el cable inmediatamente.
2. Haz una copia de seguridad de tus archivos importantes: si las cosas se tuercen, querrás tener una copia limpia de tus datos. Guarda tus archivos en una unidad externa o en un almacenamiento en la nube, especialmente los personales o relacionados con el trabajo.
3. Ejecuta un análisis completo en busca de malware: usa tu antivirus para realizar un análisis profundo del sistema. Esto ayuda a detectar cualquier spyware o troyano oculto.
4. Cambia tus contraseñas: si has introducido tus credenciales, modifícalas rápidamente. Usa contraseñas seguras y únicas, y almacénalas de forma segura con un gestor de contraseñas como ExpressVPN Keys.
5. Vigila tu identidad: si has compartido datos personales, puede ser conveniente que actives una alerta de fraude en una agencia de crédito. Es gratis y añade una capa de protección si alguien intenta abrir cuentas a tu nombre. En EE. UU., basta con ponerse en contacto con una de ellas (Experian, TransUnion o Equifax). Ellas se encargarán de notificarlo a las demás. Y para una protección adicional en el futuro, herramientas como Identity Defender de ExpressVPN pueden supervisar las fugas de datos y ayudarte a responder rápidamente. Si estás fuera de EE. UU., consulta la agencia de protección al consumidor o los servicios nacionales de informes crediticios de tu país; muchos ofrecen sistemas de alerta de fraude o congelación de crédito similares.

¿Has abierto un PDF malicioso en tu teléfono? Aquí te explicamos cómo eliminar el malware en Android.