Malasia advierte sobre malware de WhatsApp oculto en archivos ZIP y documentos financieros falsos

Los archivos adjuntos maliciosos ponen en riesgo teléfonos y computadoras

El regulador de comunicaciones de Malasia advirtió que los archivos ZIP, los archivos adjuntos y los enlaces sospechosos enviados por WhatsApp pueden exponer información personal, permitir accesos no autorizados y dejar a los usuarios expuestos al robo de sus cuentas. Un aviso de seguridad fechado el 4 de noviembre de 2026 describe cómo los delincuentes se hacen pasar por personas conocidas u organizaciones de confianza para convencer a quienes reciben los mensajes de que abran archivos o sigan enlaces.

La advertencia se refiere a una aplicación con unos 32,3 millones de usuarios en Malasia, según la alerta original dirigida a los consumidores. Esa cifra describe la audiencia potencial de los ataques; no se ha divulgado cuántas personas se han visto afectadas por la campaña actual.

La Comisión de Comunicaciones y Multimedia de Malasia (MCMC), en su aviso de seguridad del 4 de noviembre, publicado en el sitio web del Consejo de Seguridad Nacional, insta a los usuarios a confirmar con quienes envían los archivos si estos son inesperados, revisar la lista de dispositivos vinculados de WhatsApp y eliminar las conexiones que no reconozcan.

El riesgo va más allá de los teléfonos inteligentes. MyCERT, el Equipo de Respuesta a Emergencias Informáticas de Malasia, identificó archivos maliciosos disfrazados de facturas, extractos de cuentas, estados de cuenta electrónicos y documentos de pago que se pedía a los destinatarios que abrieran o descomprimieran en computadoras con Windows. La Agencia Nacional de Ciberseguridad (NACSA) también advirtió sobre scripts maliciosos distribuidos a través de WhatsApp Web.

Para quien recibe lo que parece ser una factura de un colega o un documento de un familiar, la decisión crucial se toma antes de abrir el archivo adjunto. Un nombre y una foto conocidos pueden acompañar un mensaje enviado desde una cuenta que ya está bajo el control de un delincuente.

Cómo se desarrollaron las advertencias

Los organismos de ciberseguridad de Malasia emitieron varias advertencias a medida que la atención pasó de documentos aparentemente rutinarios al software oculto en ellos. Sus recomendaciones abarcan tanto los archivos adjuntos como la posibilidad de que una cuenta comprometida se use para contactar a más víctimas.

• 29 de octubre: MyCERT advirtió sobre una campaña activa en Malasia que utilizaba archivos maliciosos disfrazados de documentos financieros y de pago, distribuidos a través de WhatsApp.
• 4 de noviembre de 2026: MCMC advirtió sobre archivos ZIP, archivos adjuntos y enlaces sospechosos, y detalló medidas para proteger los dispositivos y las cuentas de WhatsApp.
• 5 de noviembre: NACSA recomendó a los usuarios desactivar las descargas automáticas de archivos multimedia en WhatsApp y Telegram, incluidas sus versiones para computadoras, y advirtió sobre archivos .vbs maliciosos en Windows.
• 8 de noviembre: Teo Nie Ching, viceministra de Comunicaciones, pidió reforzar la alfabetización digital y describió cómo un archivo adjunto malicioso puede provocar el robo de datos y su posterior distribución entre los contactos de una víctima.

Las advertencias describen vías relacionadas para infiltrarse en los dispositivos: un mensaje inesperado, un documento aparentemente útil y una solicitud para abrir algo. El software oculto puede robar información, dar acceso remoto a un atacante o ayudar a los delincuentes a tomar el control de una cuenta.

Por qué una factura puede convertirse en una vía de acceso a una computadora

El análisis de MyCERT encontró que los programas incluidos en archivos ZIP podían instalar malware que permitía controlar a distancia computadoras con Windows. Un archivo ZIP es un contenedor que agrupa varios archivos, a menudo para facilitar su envío. Puede incluir documentos, programas o scripts.

La advertencia de NACSA se centró en archivos .vbs presentados como documentos financieros o legales. Un archivo .vbs contiene instrucciones que Windows puede ejecutar. Cuando se ejecutan instrucciones maliciosas, los atacantes pueden tomar el control de la computadora y acceder a la información confidencial almacenada en ella.

NACSA también advirtió que no se deben abrir archivos inesperados con las extensiones .apk, .zip, .iso y .exe. Un APK es un paquete de instalación de una aplicación para Android; un EXE puede ejecutar un programa de Windows, y un ISO es una imagen de disco que puede contener software. Estos formatos tienen usos legítimos, por lo que importa quién envía el archivo, para qué sirve y si se esperaba recibirlo.

La medida de protección inmediata consiste en no abrir un archivo adjunto sospechoso y llamar a quien supuestamente lo envió. Confirmar la recepción por un canal de confianza permite averiguar si esa persona realmente lo envió.

Un contacto de confianza puede ayudar a propagar el ataque

Teo Nie Ching, viceministra de Comunicaciones y diputada por Kulai, describió una posible secuencia en la que un archivo ZIP malicioso primero expone los datos de una computadora y luego ayuda a propagar el ataque a través de WhatsApp.

Por ejemplo, el malware se distribuye ahora ampliamente a través de archivos ZIP. Puede recibir un archivo de este tipo de un amigo por WhatsApp y que le pidan abrirlo en su computadora.

Teo dijo que las consecuencias podían desarrollarse después de abrir el archivo inicial:

Una vez abierto el archivo, pueden robar los datos de su computadora y, quizá dos semanas después, piratear su cuenta de WhatsApp y enviar el mismo archivo a todos sus contactos.

Las dos semanas de su ejemplo describen una demora posible. La víctima puede seguir usando la computadora y comunicándose con sus contactos mientras un atacante recopila información o se prepara para utilizar indebidamente la cuenta.

Siraj Jalil, presidente de la Asociación de Consumidores Cibernéticos de Malasia, también advirtió que el uso generalizado de WhatsApp y la confianza que las personas depositan en los mensajes de contactos conocidos hacen que la aplicación resulte atractiva para los delincuentes. Si un atacante toma el control de una cuenta, obtiene una identidad convincente para contactar a familiares, colegas y miembros de grupos.

MCMC recomienda a quienes sospechen que su cuenta ha sido comprometida que avisen de inmediato a sus contactos. Esa advertencia puede interrumpir la cadena al decirles a quienes reciban los mensajes que ignoren los archivos o solicitudes inesperados enviados desde la cuenta afectada.

Qué pueden robar los atacantes

La doctora Shafiza Mohd Shariff, vicedecana de asuntos académicos y tecnológicos del Instituto Malasio de Tecnología de la Información de la Universidad de Kuala Lumpur, dijo que el malware puede registrar lo que escriben los usuarios, recopilar contraseñas y otros datos de acceso, acceder a la información almacenada y vigilar la actividad relacionada con aplicaciones financieras.

Registrar las pulsaciones del teclado significa capturar letras, números y comandos mientras una persona escribe. Esto puede exponer las credenciales incluso cuando el usuario las introduce en un sitio web o una aplicación legítimos. El acceso remoto conlleva otro peligro: alguien que esté fuera de la vivienda o del lugar de trabajo podría manejar el dispositivo infectado.

Shafiza dijo que los atacantes también pueden redirigir a sus propios teléfonos los mensajes con códigos de autorización de transacciones, en los casos en que los servicios todavía utilizan ese método de verificación. Un TAC es un código que se usa para aprobar una transacción. Los delincuentes que obtengan tanto las credenciales de una cuenta como un código de autorización podrían aprobar pagos.

Siraj advirtió que los delincuentes pueden intentar obtener contraseñas de un solo uso, tomar el control de cuentas de WhatsApp para engañar a los contactos o extraer números de teléfono, documentos, fotografías y otra información para venderlos. También se puede utilizar software espía para vigilar un dispositivo y a su propietario.

Por lo tanto, la información en riesgo va más allá de una sola cuenta bancaria. Un teléfono o una computadora puede contener material privado de la familia, registros laborales y datos de contacto de otras personas. Cuando se utiliza indebidamente una cuenta para distribuir archivos adjuntos, esos contactos se convierten en los siguientes objetivos potenciales.

Reduzca el riesgo antes de recibir un archivo inesperado

NACSA recomendó a los usuarios desactivar las descargas automáticas de archivos multimedia en WhatsApp y Telegram, tanto en teléfonos como en computadoras. Así, las personas tienen más control sobre lo que llega a sus dispositivos. Aun así, deben revisar los archivos adjuntos antes de elegir descargarlos, descomprimirlos o ejecutarlos.

Para WhatsApp en Android y iPhone, NACSA indicó a los usuarios que fueran a los ajustes de Almacenamiento y datos y recomendó configurar las descargas automáticas en Nunca, cuando esa opción esté disponible. Para WhatsApp Web y de escritorio, señaló los ajustes de Chats y Descarga automática de archivos multimedia.

En Telegram, recomendó ir a Datos y almacenamiento en dispositivos móviles y a Ajustes avanzados en la aplicación de escritorio. El nombre de los menús puede variar según la versión de la aplicación y el sistema operativo.

MCMC también recomienda mantener actualizados los sistemas operativos, las aplicaciones y el software de seguridad. Shafiza aconsejó tener activa la protección antivirus en los dispositivos móviles para detectar y poner en cuarentena archivos maliciosos. La cuarentena aísla un archivo sospechoso para impedir que funcione con normalidad.

Siraj advirtió que no se deben instalar aplicaciones de fuentes no oficiales, en particular archivos APK pirateados que prometen acceso gratuito a servicios de streaming de pago. También recomendó revisar los permisos de las aplicaciones y permitir el acceso únicamente a la información que estas necesitan para funcionar. Conviene examinar con atención una aplicación que solicite acceso a mensajes, contactos o archivos cuando esos permisos no correspondan a su finalidad.

Proteja la cuenta de WhatsApp además del dispositivo

MCMC recomienda activar la verificación en dos pasos de WhatsApp y mantener en privado los códigos de verificación, los PIN de seguridad y las contraseñas. La verificación en dos pasos añade un PIN al proceso de registro de la cuenta, lo que crea una barrera adicional para quien intente tomar el control.

Siraj recomendó añadir una dirección de correo electrónico para recuperar la cuenta. También señaló las claves de acceso, la autenticación biométrica y las aplicaciones de autenticación como protecciones adicionales, cuando estén disponibles. Una clave de acceso utiliza el sistema de seguridad del dispositivo para autenticar a una persona, mientras que las verificaciones biométricas recurren a características como la huella dactilar o el rostro.

Conviene revisar con regularidad la lista de dispositivos vinculados de WhatsApp, ya que muestra otros dispositivos conectados a una cuenta. MCMC recomienda eliminar cualquier dispositivo desconocido. De lo contrario, alguien que solo revise el teléfono que tiene en la mano podría pasar por alto un acceso desde una computadora conectada.

La protección de la cuenta y la del dispositivo abordan distintas partes de la amenaza. Un PIN de verificación ayuda a proteger el registro de la cuenta, mientras que las actualizaciones, el cuidado al abrir archivos y los análisis contra malware protegen el teléfono o la computadora. Los usuarios necesitan ambas protecciones porque los delincuentes pueden atacar por cualquiera de esas vías.

Siraj también recomendó evitar las redes Wi-Fi desconocidas y las conexiones no seguras. Ante la campaña de archivos adjuntos descrita por MyCERT y NACSA, las precauciones más directas siguen siendo confirmar quién envía el archivo y negarse a ejecutar cualquier archivo inesperado.

Qué hacer después de abrir un archivo adjunto sospechoso

MCMC indica que cualquier persona que haya ejecutado un archivo sospechoso y crea que el dispositivo está afectado debe desconectarlo de internet, realizar un análisis de seguridad y cambiar las contraseñas relacionadas desde otro dispositivo de confianza. NACSA ofrece consejos similares y recomienda solicitar asistencia técnica.

Es importante cambiar las contraseñas desde un teléfono o una computadora segura y distinta, porque el malware del dispositivo afectado podría capturar las nuevas credenciales que se introduzcan. Desconectar el dispositivo también interrumpe su conexión a la red mientras la persona busca ayuda y evalúa los daños.

Siraj mencionó como señales de alerta que la batería se agote inusualmente rápido, que el dispositivo se sobrecaliente, que algunas funciones no respondan, que haya problemas para recibir mensajes SMS y que no lleguen repetidamente las contraseñas de un solo uso solicitadas. Conviene investigar esos síntomas, especialmente después de instalar una aplicación inesperada o abrir un archivo adjunto.

Cualquier persona que sospeche que su cuenta bancaria ha sido comprometida o haya perdido dinero en una estafa debe comunicarse de inmediato con el Centro Nacional de Respuesta a Estafas de Malasia, en el número 997, y avisar al banco correspondiente. Si aparece una notificación de una transacción que el cliente no realizó, debe comunicarse de inmediato con el banco para bloquear la tarjeta y el acceso a la banca en línea.

Las filtraciones de datos personales pueden denunciarse ante el Departamento de Protección de Datos Personales. Siraj también aconsejó proteger las cuentas afectadas y considerar restablecer el teléfono a los valores de fábrica, lo que lo devuelve a su configuración original y elimina las aplicaciones y los datos almacenados localmente. La asistencia técnica puede orientar el proceso de recuperación cuando no se conoce el alcance del ataque.

Por qué importan la concienciación pública y los controles en el trabajo

Teo dijo que el Gobierno y MCMC no pueden revisar todos los mensajes de WhatsApp antes de que se envíen. Su advertencia sitúa en el centro de la prevención las decisiones cotidianas, como decidir si se confía en un documento y si se debe confirmar una solicitud.

Dijo que las estadísticas de denuncias de estafas en línea mostraban que las estafas de comercio electrónico generaban el mayor número de denuncias, mientras que las estafas de inversión provocaban las mayores pérdidas económicas. La comparación apunta a dos problemas distintos: cuántas personas denuncian dificultades y cuánto dinero pierden las víctimas.

Las empresas y organizaciones también tienen un papel que desempeñar, porque los documentos maliciosos descritos por MyCERT se parecen a la correspondencia financiera habitual. Abrir un archivo de pago en una computadora del trabajo puede exponer información de la empresa, además de las cuentas personales del empleado.

Teo instó a las organizaciones a realizar auditorías periódicas de ciberseguridad, especialmente cuando actualicen sistemas o adopten nuevas tecnologías. Identificó a NACSA como el organismo responsable de los asuntos de ciberseguridad nacional y señaló que MCMC puede ofrecer asistencia y apoyo técnico. Para los usuarios, la prioridad práctica es inmediata: confirmar los documentos inesperados, proteger los dispositivos conectados y actuar con rapidez si el dinero o el acceso a una cuenta están en riesgo.

Puntos clave

• La advertencia de MCMC del 4 de noviembre de 2026 se refiere a archivos ZIP, archivos adjuntos y enlaces sospechosos de WhatsApp que pueden exponer datos y facilitar el robo de cuentas.
• MyCERT identificó documentos financieros y de pago maliciosos dirigidos a computadoras con Windows, mientras que NACSA advirtió sobre scripts .vbs distribuidos a través de WhatsApp Web.
• Confirme los archivos inesperados llamando a quien los envió, desactive las descargas automáticas y mantenga actualizados los dispositivos y el software de seguridad.
• Active la verificación en dos pasos, mantenga privados los códigos de verificación y elimine los dispositivos desconocidos de la lista de dispositivos vinculados de WhatsApp.
• Si se ha ejecutado un archivo sospechoso, desconecte el dispositivo y cambie las contraseñas desde otro dispositivo de confianza. Comuníquese con el banco y llame de inmediato al 997 si el acceso a sus cuentas bancarias o su dinero están en riesgo.