¿Es seguro este archivo? Revisa un adjunto o un APK
Mira qué es en realidad un archivo de WhatsApp o del correo y qué trucos trae: programas disfrazados, macros, PDF con scripts, apps que leen SMS. Nada se sube.
Funciona en tu equipoFunciona completa en tu navegador: nada de lo que escribes o subes sale de tu equipo.
Revisión automática; no garantiza seguridad.
Cómo usarla
- Suelta el archivo que te llegó, o haz clic para elegirlo: de cualquier tipo, hasta 100 MB cada uno y hasta 10 a la vez. Tu navegador lo lee en tu dispositivo.
- Lee el resultado: el tipo real del archivo, su tamaño y cada señal de alerta que tiene.
- Si tiene señales de alerta, no lo abras. Primero pregúntale a quien lo envió por otro canal.
Los archivos que mandan los estafadores, y por qué funcionan
Muchos de los ataques que empiezan con un mensaje necesitan que abras algo. En Latinoamérica los más comunes son una app de Android que llega por WhatsApp como “actualización” del banco, un PDF de “factura” o “comprobante de pago”, un ZIP con la contraseña escrita en el mensaje, un Word o Excel que te pide hacer clic en “Habilitar contenido”, y un archivo llamado factura.pdf.exe que en realidad es un programa.
La revisión tiene que ser antes de abrir el archivo o instalar la app. Lee el archivo en tu dispositivo, sin ejecutarlo: averigua qué es de verdad, diga lo que diga el nombre, y busca por dentro los trucos de los que dependen los atacantes.
Cómo leer el resultado: una app que dice ser de tu banco
Imagina que un “asesor del banco” te manda Actualizacion-TuBanco.apk. El tipo real es App de Android (APK), y el veredicto dice “Encontramos 4 señales de alerta”. Los hallazgos dicen que es una app enviada como archivo, que puede leer tus mensajes de texto, que pide ser un servicio de accesibilidad y que puede dibujar encima de otras apps. Debajo aparecen el nombre del paquete de la app y todos los permisos que pide.
Juntas, esas señales son el patrón de un troyano bancario: espera a que abras la app de tu banco, pone encima una pantalla falsa de inicio de sesión, lee el código que el banco te manda por SMS y aprueba la transferencia por su cuenta. Un banco de verdad nunca te manda su app como archivo.
Con un PDF normal, el resultado dice que de verdad es un PDF y muestra los dominios a los que llevan sus enlaces (hasta 12). Cada uno se abre en ¿Es una estafa?, para que lo revises antes de tocarlo.
Lo que esta revisión no alcanza a ver
No es un antivirus. No ejecuta el archivo ni lo compara con listas de malware conocido. Mira cómo está hecho el archivo, así que uno dañino sin ningún truco conocido puede pasar, y uno con una señal de alerta puede ser inofensivo si lo estabas esperando.
No puede mirar dentro de archivos RAR o 7-Zip, de archivos con contraseña ni de las partes cifradas de un PDF. Y un archivo limpio igual puede ser parte de una estafa: un PDF de verdad puede traer un comprobante de pago falso o una cuenta bancaria que no es de la empresa. Si estás pensando en subir el archivo a un escáner en línea, muchos de esos servicios guardan el archivo y lo comparten con empresas de seguridad, así que no les mandes documentos con datos personales.
Preguntas frecuentes
¿Un PDF puede tener virus?
Un PDF puede traer cosas que se ejecutan o se abren al verlo: JavaScript, una acción que abre otro archivo o programa, archivos adjuntos, un formulario que envía lo que escribes a una dirección web o un enlace que abre una página solo. Esta revisión busca cada una de ellas. Una factura o una carta no necesita ninguna, así que encontrar una es motivo para preguntarle primero a quien lo envió.
¿Esto reemplaza mi antivirus?
No. Detecta los trucos que usan los adjuntos, como un programa disfrazado de PDF o macros en un documento, pero no reconoce malware conocido como lo hace un antivirus. Mantén tu celular y tu computador actualizados y tu antivirus encendido.
Me mandaron un APK para actualizar la app del banco. ¿Es normal?
No. Los bancos, las tiendas y las entidades publican sus apps en las tiendas oficiales (Google Play, la App Store o la tienda del fabricante del celular) y no las mandan como archivo. Bórralo y llama a tu banco al número que aparece en tu tarjeta.
¿Qué hace “Habilitar contenido” en Word o Excel?
Ejecuta las macros del documento: pequeños programas que pueden descargar e instalar malware. Un documento que alguien te envía nunca debería necesitarlas, así que no toques la barra amarilla.
Ya instalé la app. ¿Qué hago?
Activa el modo avión y desinstálala. Si no se deja desinstalar, primero quítala de las apps administradoras del dispositivo en los ajustes de seguridad. Desde otro teléfono, llama a tu banco para bloquear tus cuentas, y después cambia tus contraseñas.
Guías sobre esta herramienta
- G19Mensaje de paquete retenido: cómo saber si es estafaTe llegó un SMS de que tu paquete está retenido y piden un pago o tu dirección. Cómo revisarlo con la transportadora y qué hacer si ya pagaste.
- G21Correo falso de la DIAN: cómo saberlo y ver si debes algo¿Te llegó un correo o SMS de la DIAN por una deuda, un embargo o tu RUT? Cómo saber si es falso, revisar tu estado real y qué hacer si ya lo abriste.
Más en este capítulo
- 1.1¿Es una estafa?Pega el mensaje o enlace que te llegó y mira sus señales de alerta: imitación de marcas, dominios nuevos, enlaces acortados, frases de estafa.
- 1.2¿Te estafaron o hackearon?Pasos para las primeras horas después de una estafa o un hackeo: un link falso, un código que diste, el WhatsApp robado, plata enviada.
- 1.4Expandir enlaces cortosMira a dónde lleva realmente un enlace corto (bit.ly, t.co, tinyurl…) antes de abrirlo: cada redirección, la URL final y señales de alerta.
- 1.5Escaneo de seguridad webRevisión pasiva de la página de inicio de un sitio: HTTPS, certificado TLS, HSTS, CSP, clickjacking, cookies y security.txt, con nota y correcciones.
- 1.6Verificar certificado SSLRevisa el certificado SSL/TLS de cualquier sitio: si es válido, cuándo vence, quién lo emitió, qué nombres cubre y qué versión de TLS usa.
- 1.7Detector de dominios falsosRevisa si un enlace o dominio imita a otro: letras de otros alfabetos, números por letras, un dominio real escondido.
- 1.8Edad de un dominioMira cuándo se registró un dominio, cuándo vence, su registrador y sus DNS.
- 1.9Generador de contraseñasContraseñas aleatorias (8 a 128 caracteres) o frases de contraseña, creadas en tu navegador con su generador criptográfico.
- 1.10Decodificador de certificadosPega un certificado PEM y lee su titular, emisor, fechas de validez, SANs, tipo y tamaño de clave, y sus huellas SHA-256 y SHA-1.
- 1.11¿Contraseña filtrada?Revisa si una contraseña aparece en filtraciones de datos sin enviarla: con k-anonimato solo salen de tu dispositivo 5 caracteres de su hash.
- 1.12Limpiador de enlacesQuita utm_, fbclid, gclid, si y otros parámetros de rastreo de los enlaces antes de compartirlos.
- 1.13Marca de agua para tu cédulaEscribe para quién es la copia de tu cédula, y la fecha, sobre toda la foto o el PDF, y descarga una copia más pequeña y sin datos de la foto.
- 1.14Cifrar textoCifra y descifra mensajes o notas con contraseña (AES-256-GCM) en tu navegador.
╌╌ FIN ╌╌