PDF malicioso: uno de los principales formatos utilizados en amenazas por correo electrónico en América Latina

ESET Latinoamérica advierte que los PDF son uno de los formatos más utilizados por los ciberdelincuentes para distribuir phishing y malware por correo electrónico en América Latina.

Una factura, una citación judicial, un contrato para firmar, abrir un PDF recibido por correo electrónico es un gesto tan automático que los ciberdelincuentes han comenzado a aprovecharlo. Según la telemetría de ESET, compañía líder en detección proactiva de amenazas, el PDF/Phishing como amenaza se ubicó entre las más relevantes de América Latina durante el primer semestre de 2026, con más de 107.000 detecciones registradas en la región.

Además, los análisis muestran que los archivos PDF continúan figurando entre los formatos más utilizados por los ciberdelincuentes en campañas distribuidas por correo electrónico. El equipo de investigación de ESET explica por qué este formato resulta tan atractivo para los atacantes, cómo funcionan estas estafas en la práctica, y qué hacer para protegerse.

El término «PDF malicioso» puede abarcar varias situaciones diferentes. En algunos casos, el riesgo está en el propio archivo, mediante scripts, objetos incrustados o vulnerabilidades explotadas. En otros, el PDF funciona como una especie de puerta de entrada a la siguiente etapa del ataque, y puede contener un enlace, un código QR o una instrucción que induce a los usuarios a realizar una determinada acción, como descargar otro archivo.

Un PDF malicioso puede, por ejemplo:

• Contener un enlace a una página falsa.
• Mostrar un código QR que dirige a la víctima a un sitio malicioso.
• Simular una factura, una notificación o un contrato.
• Inducir la descarga de otro archivo.
• Incorporar scripts, objetos incrustados o elementos que exploten vulnerabilidades del lector de PDF.

“El PDF es uno de los formatos más eficaces para la ingeniería social porque forma parte de la rutina de prácticamente cualquier persona. Facturas, comprobantes, documentos fiscales, contratos y documentos firmados son elementos habituales en la vida cotidiana y el trabajo. Por este motivo, se reduce la desconfianza inicial de la víctima. Otro factor es la versatilidad técnica del formato. Un PDF puede contener enlaces ocultos, códigos QR e incluso código diseñado para explotar vulnerabilidades en lectores de PDF, lo que lo convierte en un vector ideal para estafas digitales.”, comenta Mario Micucci, Investigador de Seguridad Informática de ESET Latinoamérica.

Uno de los escenarios más comunes identificados por ESET es la utilización de un PDF como puente entre el correo electrónico y una página de phishing o de descarga de malware, mediante un enlace o un código QR dentro del archivo. En otros casos, el propio PDF contiene el código malicioso, oculto en su contenido.

Dentro de los casos observados por el equipo de ESET en la región se muestra cómo un archivo PDF puede utilizarse para distribuir malware y comprometer equipos corporativos.

Ejemplo n.º 1: campaña de troyano de acceso remoto en Colombia

Esta campaña buscaba distribuir un troyano de acceso remoto (RAT) a empresas en Colombia. El flujo del ataque fue el siguiente: Correo electrónico de phishing contenía un PDF adjunto, que incluía un enlace a un sitio web. Al hacer clic se descargaba de un archivo RAR comprimido. Una vez que el usuario extrae y ejecuta el archivo, se ejecuta código malicioso y descarga otro malware (dropper). Este troyano de acceso remoto se ejecuta automáticamente.