Lo que se examina en un archivo adjunto
- Antivirus: comparación con programas maliciosos conocidos. Eficaz con lo que ya circula, menos con un archivo fabricado para una sola campaña.
- Macros de Office: un documento de Word o Excel que contiene código y pide «habilitar el contenido» para ejecutarlo. Es un esquema antiguo que se sigue utilizando.
- PDF: scripts, enlaces ocultos, formularios que remiten a una página de inicio de sesión falsa.
- Archivos HTML: un adjunto que se abre en el navegador e imita una página de inicio de sesión, sin pasar por un sitio que se pudiera bloquear.
- Imágenes: un código QR que contiene un enlace, o un texto oculto en la imagen para eludir el análisis del texto.
Cuando un adjunto se considera peligroso, hay dos salidas razonables: retirar el adjunto y entregar el mensaje con una nota que lo explica, o poner todo el mensaje en cuarentena. En ambos casos, el archivo no llega al puesto de trabajo.
Los enlaces: en la entrega y, después, en el clic
Un enlace se analiza dentro del mensaje: reputación de la dirección y del dominio, parecido con una marca conocida, dominio creado recientemente. El código QR plantea un problema particular: traslada el enlace del ordenador, que está protegido, al teléfono personal, que a menudo lo está menos. Leerlo en la imagen devuelve ese enlace al control.
Pero un enlace limpio a las 9 puede ser malicioso a las 14. Los estafadores envían primero un enlace hacia una página inofensiva y cambian la página una vez entregado el mensaje. Esa es la razón de la protección en el clic: el enlace se reescribe para que pase por una verificación en el momento en que el usuario hace clic. Si la página se ha vuelto peligrosa, el clic se detiene, aunque el mensaje se haya entregado.
El caso de los enlaces de uso compartido
Cada vez más mensajes maliciosos no contienen ningún adjunto: remiten a un documento depositado en un servicio conocido de archivos compartidos. El dominio del enlace tiene entonces una reputación excelente, puesto que es el de un gran servicio. El análisis debe centrarse en lo demás: ¿es un remitente habitual?, ¿el mensaje parece una campaña?, ¿la página abierta pide una contraseña? Ahí es donde la verificación en el clic y la detección de comportamientos inusuales cuentan más que la lista de dominios peligrosos.
Ransomware: lo que la pasarela puede hacer y lo que no
Cybermalveillance.gouv.fr, el servicio nacional francés de asistencia a las víctimas, describe el ransomware como un ataque que bloquea el acceso a un sistema o cifra los datos, y a veces amenaza con divulgarlos, a cambio de un rescate. El servicio señala que la intrusión suele producirse por una vulnerabilidad o un acceso remoto mal protegido, o por el compromiso de una cuenta o de un equipo mediante phishing o un programa malicioso.
El correo no es la única puerta de entrada, pero la ANSSI lo designa como «el principal vector de infección del puesto de trabajo» (traducción). El mismo organismo cita «el envío de adjuntos maliciosos para explotar las vulnerabilidades de un puesto de trabajo con fines de extorsión o de espionaje». Es también una entrada que se puede filtrar antes de que llegue al buzón. El desarrollo típico por correo electrónico:
- un mensaje con un adjunto o un enlace;
- una macro activada, o una contraseña introducida en una página falsa;
- un acceso a la red o a las cuentas;
- más tarde, a veces semanas después, el cifrado de los archivos.
Un ejemplo, a título ilustrativo. Un empleado recibe una «factura impagada» en formato Word. El documento muestra una franja borrosa y pide habilitar el contenido para leerlo. Si lo hace, la macro descarga un programa que da acceso al puesto. Los archivos del servidor no se cifrarán hasta más tarde. Si el adjunto se retira a la llegada, esta cadena no empieza; si pasa, todo depende del reflejo de no activar la macro y, después, de la copia de seguridad.
La pasarela actúa sobre la primera etapa. No ve una intrusión a través de un acceso remoto, ni una cuenta ya abierta con una contraseña robada en otro lugar. No restaura nada.
Cybermalveillance.gouv.fr recomienda copias de seguridad periódicas, copias desconectadas, restauraciones verificadas y actualizaciones aplicadas sin demora. También recomienda no pagar el rescate. Para sus archivos, la cuestión se trata en ransomware: proteger y restaurar una gestión documental.
Lo que sigue siendo un gesto humano
- No activar las macros de un documento recibido por correo electrónico, aunque lo pida amablemente.
- No introducir una contraseña en una página abierta desde un enlace recibido; usar la dirección habitual o un marcador. Cybermalveillance.gouv.fr aconseja también verificar la dirección del sitio, en la que puede cambiar un solo carácter.
- No escanear un código QR recibido por correo electrónico para «iniciar sesión».
- Notificar un mensaje dudoso en lugar de eliminarlo: la notificación ayuda al filtro y alerta a los compañeros.
- No liberar de una cuarentena un mensaje que no se esperaba, solo para ver qué es.
Los límites de cualquier análisis
- El archivo cifrado por el remitente: un archivo comprimido protegido con una contraseña indicada en el mensaje es ilegible para el filtro. Es una técnica de evasión conocida; se trata mediante una regla (cuarentena, advertencia) más que mediante el análisis del contenido.
- El documento malicioso inédito, sin firma conocida, puede superar el antivirus. Las demás señales (remitente, contexto, macros) toman entonces el relevo, sin garantía.
- La cuenta legítima comprometida que envía una factura real con contenido malicioso se beneficia de la confianza en el remitente.
- El enlace convertido en malicioso a posteriori pasa si nadie vuelve a verificarlo en el momento del clic.
- El mensaje interno intercambiado entre dos buzones del mismo servicio de correo, sin salir de este, no pasa por una pasarela situada delante: lo ve el filtro del servicio de correo, o nadie.
La cuarentena existe para los casos dudosos: el mensaje no se entrega ni se pierde. Consulte Cuarentena, falsos positivos y notificaciones.
Preguntas frecuentes
¿Se pierde un adjunto retirado?
El mensaje llega con una nota que explica la retirada. Si el adjunto era legítimo, el administrador o el destinatario recurre a la cuarentena: consulte Cuarentena, falsos positivos y notificaciones.
¿Puede un PDF ser realmente peligroso?
Sí: puede contener scripts o remitir a una página de inicio de sesión falsa. Por eso se inspecciona igual que un documento de Office.
¿Por qué un enlace verificado ayer está bloqueado hoy?
La página ha cambiado desde la entrega. La protección en el clic evalúa la página en el momento en que usted la abre.
¿Basta una pasarela contra el ransomware?
No. Reduce la entrada por el correo electrónico. Las actualizaciones, los accesos remotos y la copia de seguridad hacen el resto. Consulte ransomware: proteger y restaurar una gestión documental.
Dónde se sitúa Klytic
El reparto de Klytic MTA entre sus dos ofertas, tal como está publicado:
| Análisis | Esencial | Avanzado |
|---|
| Antivirus y cuarentena cifrada | Sí | Sí |
| Macros de Office y PDF maliciosos | Sí | Sí |
| Antiphishing, suplantación de marca, códigos QR | Sí | Sí |
| Adjuntos peligrosos retirados, con un mensaje informativo | Sí | Sí |
| Liberación segura de la cuarentena y notificaciones | Sí | Sí |
| Archivos HTML maliciosos y texto oculto en las imágenes | No | Sí |
| Enlaces analizados de nuevo en el momento del clic | No | Sí |
Klytic MTA funciona delante de cualquier servicio de correo, sin Klytic Mail. No sustituye la copia de seguridad de sus archivos y de sus buzones: en Klytic, son las copias de seguridad de los propios servicios, descritas en la página seguridad y copia de seguridad.
Fuentes
Consultadas en octubre de 2026.
- Cybermalveillance.gouv.fr, «Rançongiciel ou ransomware : que faire si votre organisation est victime d’une attaque ?» (Ransomware: qué hacer si su organización es víctima de un ataque): definición, modos de intrusión (vulnerabilidades, accesos remotos, phishing, programa malicioso), copias de seguridad desconectadas y probadas, actualizaciones, no pagar. cybermalveillance.gouv.fr
- Cybermalveillance.gouv.fr, «Que faire en cas de phishing ou hameçonnage ?» (Qué hacer en caso de phishing): verificar la dirección de un enlace y del sitio antes de introducir información. cybermalveillance.gouv.fr
- Klytic, página Klytic MTA: análisis de adjuntos y enlaces en las ofertas Esencial y Avanzado, opciones, modos de despliegue, puesta en servicio mediante el MX. klytic.com
- ANSSI, «Guide d’hygiène informatique» (Guía de higiene informática), versión 2.0, septiembre de 2017, medida 24 «Protéger sa messagerie professionnelle» (Proteger el correo profesional): «El correo electrónico es el principal vector de infección del puesto de trabajo» (traducción). messervices.cyber.gouv.fr
- ANSSI, MonServiceSécurisé, catálogo de medidas, medida «Mettre en œuvre une solution d’anti-spam et d’anti-hameçonnage» (Implantar una solución antispam y antiphishing): «Los sistemas de correo son uno de los principales vectores de ataque, ya que están muy extendidos y expuestos en Internet» (traducción). monservicesecurise.cyber.gouv.fr
- ANSSI, «Recommandations relatives à l’interconnexion d’un système d’information à Internet» (Recomendaciones sobre la interconexión de un sistema de información a Internet), ANSSI-PA-066, versión 3.0, 19 de junio de 2020, capítulo 5 «Sécurisation du service de messagerie électronique» (Protección del servicio de correo electrónico): el correo «se ha convertido en uno de los principales vectores de ataque informático» (traducción) (phishing, adjuntos maliciosos); § 5.2.3, los mecanismos antispam y de búsqueda de contenido malicioso «deben implantarse». messervices.cyber.gouv.fr
