WhatsApp se ha convertido en un nuevo canal utilizado por ciberdelincuentes para distribuir malware mediante mensajes que parecen proceder de contactos conocidos.
Kaspersky identificó una campaña que aprovecha cuentas previamente comprometidas para enviar archivos relacionados con facturas, pagos, estados de cuenta o avisos de deuda, con el objetivo de aprovechar la confianza de los usuarios.
La campaña fue identificada en junio de 2026 por el Equipo Global de Investigación y Análisis de Kaspersky, GReAT.
Según la investigación, los atacantes utilizan cuentas de WhatsApp comprometidas para distribuir archivos adjuntos maliciosos a través de WhatsApp Web y WhatsApp Desktop.
El hecho de que el mensaje llegue desde una conversación conocida constituye uno de los principales elementos de la estrategia de ingeniería social.
Al reconocer al remitente, el usuario puede considerar que el contenido es legítimo y reducir las precauciones que normalmente tendría frente a un mensaje de un desconocido.
El archivo utilizado en la campaña incorpora VBScript, un tipo de script capaz de ejecutar instrucciones en un computador cuando el usuario lo abre.
A partir de ese momento, se desencadena una secuencia de acciones que permite descargar componentes adicionales desde una infraestructura externa e instalar herramientas que pueden proporcionar acceso remoto al equipo afectado.
Archivos diseñados para aparentar documentos empresariales
Los investigadores encontraron archivos diseñados para aparentar documentos empresariales habituales, entre ellos facturas, extractos bancarios, registros de pago, estados de cuenta y avisos de deuda.
Los nombres de los archivos fueron identificados en diferentes idiomas, incluidos inglés, portugués, francés, alemán y malayo, lo que sugiere una campaña con capacidad de adaptación a distintos mercados.
Kaspersky también detectó muestras que incorporan comentarios y metadatos destinados a imitar componentes legítimos de Microsoft Windows Update.
Con esta técnica, los atacantes buscan reducir las sospechas sobre el archivo y dificultar su identificación por parte de usuarios que no cuentan con mecanismos adecuados de protección.
De acuerdo con el análisis técnico, cuando la víctima abre el archivo adjunto se activa una cadena de scripts. El primero crea un directorio de trabajo en la carpeta pública de documentos del sistema y posteriormente recupera archivos adicionales desde una infraestructura externa para ejecutarlos mediante Windows Script Host.
Los componentes descargados pueden obtener a su vez un archivo comprimido que contiene un paquete de instalación de software de supervisión y gestión remota. Aunque este tipo de herramientas tiene usos legítimos en soporte técnico y administración de sistemas, su utilización por parte de ciberdelincuentes puede permitir el acceso remoto no autorizado a un equipo.
Esto puede facilitar acciones posteriores como mantener el control del dispositivo, desplazarse dentro de una red, ejecutar comandos o realizar nuevas actividades maliciosas.
Para Fabio Assolini, Lead Security Researcher de GReAT para América Latina en Kaspersky, uno de los principales riesgos de esta campaña radica en que el ataque se desarrolla dentro de un entorno cotidiano.
“Lo más preocupante de esta campaña no es solo el uso de WhatsApp como canal de distribución, sino la forma en que los atacantes convierten una conversación cotidiana en una puerta de entrada al dispositivo”, señaló.
El especialista explicó que cuando un archivo llega desde una cuenta conocida, disminuye una de las primeras barreras de defensa del usuario: la desconfianza. En su análisis, esta modalidad refleja cómo el crimeware está trasladando parte de sus operaciones desde canales tradicionalmente asociados con el fraude, como correos sospechosos o sitios falsos, hacia espacios de comunicación donde las personas interactúan con mayor naturalidad.
El riesgo, añadió, está en que un documento aparentemente rutinario, como una factura o un comprobante de pago, puede terminar habilitando el acceso remoto a un equipo y facilitar el robo de información, movimientos laterales dentro de una red o nuevas infecciones.
Confirmar la legitimidad del archivo adjunto
Kaspersky recomienda confirmar por otro canal la legitimidad de cualquier archivo adjunto inesperado antes de abrirlo, incluso si proviene de un contacto conocido. Esta verificación resulta especialmente importante cuando el mensaje carece de contexto o el remitente no suele enviar ese tipo de documentos.
También aconseja evitar la apertura de archivos de tipo script o ejecutables, como .vbs, .vbe, .exe, .bat, .cmd, .js y .ps1, salvo que su legitimidad haya sido comprobada de manera independiente.
Los usuarios deben prestar atención, además, a los nombres de los archivos y desconfiar de documentos que aparenten ser facturas, comprobantes de pago, extractos bancarios o avisos de deuda que lleguen sin haber sido solicitados.
Finalmente, la empresa recomienda utilizar soluciones de seguridad confiables en computadoras y dispositivos móviles para detectar archivos maliciosos, bloquear amenazas y prevenir infecciones antes de que comprometan los equipos.
La campaña evidencia que la seguridad digital no depende únicamente de reconocer mensajes evidentemente sospechosos. En un escenario donde las cuentas conocidas también pueden ser utilizadas para distribuir malware, la verificación del contenido y del contexto se vuelve una práctica esencial, incluso dentro de conversaciones habituales de WhatsApp.
