Una vieja extorsión digital reaparece con amenazas de vídeos íntimos

Un correo asegura que alguien ha vigilado a la persona que lo recibe, ha infectado sus dispositivos y ha grabado imágenes íntimas. A continuación, exige un pago en bitcoin en un plazo de 48 horas y amenaza con enviar ese supuesto material a sus contactos. El Instituto Nacional de Ciberseguridad (Incibe) ha advertido de esta modalidad de sextorsión por correo electrónico, un fraude que reaparece con distintas versiones y que pretende que la víctima actúe antes de comprobar si existe una amenaza real.

En muchos casos, el mensaje no aporta pruebas verificables de que el remitente haya accedido al ordenador, al móvil o a una cámara. La dirección visible puede estar manipulada para que parezca la de la propia víctima, una técnica conocida como suplantación de correo o spoofing. Esa apariencia, unida al tono intimidatorio y al límite de tiempo, busca transformar una afirmación sin demostrar en una urgencia. La recomendación de Incibe es no pagar, marcar el mensaje como correo no deseado y eliminarlo; si ya se ha enviado dinero, hay que conservar las pruebas y denunciar.

Una amenaza diseñada para parecer personal

El mensaje suele contar una historia calculada para resultar verosímil y angustiosa. El remitente dice haber obtenido las credenciales de la víctima, haber instalado un programa espía y haber registrado lo que ocurría ante la pantalla. En algunas versiones afirma que lleva semanas observándola; en otras, menciona programas de vigilancia o describe un supuesto acceso total al dispositivo. El relato no demuestra por sí mismo que haya habido una intrusión: es la afirmación del extorsionador, no una prueba técnica.

La amenaza se vuelve más inquietante cuando el correo parece proceder de la misma dirección a la que ha llegado. Sin embargo, el nombre y la dirección que aparecen como remitente no bastan para confirmar quién envió realmente el mensaje ni desde qué cuenta. La suplantación puede hacer que la cabecera visible parezca familiar sin que eso signifique que el atacante haya iniciado sesión en el buzón. Ver la propia dirección en el campo del remitente no equivale a descubrir que la cuenta está controlada por otra persona.

Ese matiz es importante porque el fraude mezcla una posibilidad técnica —la suplantación del remitente— con una acusación mucho más grave: que alguien ha tomado el control de los dispositivos y ha grabado imágenes privadas. La primera puede explicar por qué el mensaje parece venir de la víctima; no confirma la segunda. Tampoco la inclusión de una contraseña antigua, si aparece en otra variante, acredita automáticamente que el remitente tenga acceso actual a la cuenta. El mensaje explota datos y señales que pueden parecer personales para dar credibilidad a una historia no verificada.

Por qué el plazo de 48 horas forma parte del engaño

La exigencia de pagar en dos días no es un detalle secundario. El límite de 48 horas empuja a resolver el problema de inmediato, cuando el miedo y la vergüenza dificultan valorar con calma lo que se afirma. El correo amenaza con publicar las supuestas grabaciones o distribuirlas entre contactos y perfiles sociales si no llega el dinero. Así, el extorsionador intenta que la víctima interprete el pago como una forma de recuperar el control, aunque no exista garantía de que pagar detenga nuevas exigencias.

La presión también puede llevar a la persona a responder, negociar o explicar que no tiene dinero. Eso no aporta una prueba de que el atacante haya accedido al dispositivo y puede confirmar que la dirección está activa y que alguien lee los mensajes. La urgencia es una herramienta de manipulación: el plazo busca reducir el tiempo de análisis y provocar una reacción impulsiva, no demostrar que el remitente tenga capacidad para cumplir la amenaza.

La petición de bitcoin encaja en esa misma lógica. La criptomoneda permite transferir fondos sin el mecanismo habitual de reversión de un pago con tarjeta, y la dirección de un monedero no identifica por sí sola a su titular. Pero no es correcto concluir que las transacciones sean invisibles o que el pago asegure el anonimato absoluto: las operaciones quedan registradas en una red pública, aunque vincular una dirección con una persona puede ser difícil. Enviar bitcoins tampoco compra una garantía de silencio; el extorsionador podría volver a pedir dinero o seguir usando la amenaza.

Cómo funciona la suplantación del remitente

El spoofing consiste en falsificar la información que se muestra como origen de un correo. Por eso un mensaje puede aparentar que salió de una cuenta propia o de un dominio conocido sin que el atacante haya accedido a esa cuenta. La dirección visible es una pista, pero no constituye una prueba concluyente sobre el recorrido del mensaje. La autenticación del correo y el análisis de sus cabeceras pueden aportar más información, aunque para una persona que solo ve la bandeja de entrada no siempre son fáciles de interpretar.

Esta diferencia evita una confusión frecuente: una dirección suplantada no es lo mismo que una cuenta pirateada. Si el correo no incluye evidencias concretas de acceso —por ejemplo, actividad desconocida en el historial de inicio de sesión—, la amenaza por sí sola no demuestra una infección. A la vez, no conviene convertir esa idea en una certeza absoluta: un mensaje fraudulento no prueba una intrusión, pero tampoco permite descartar cualquier problema de seguridad independiente. Si hay señales reales de actividad extraña en las cuentas o los dispositivos, el caso requiere una comprobación aparte.

También conviene separar el nombre de una herramienta de la capacidad real que se atribuye el remitente. Una campaña puede invocar software espía conocido, como Pegasus, para asustar, aunque no aporte indicios de que haya utilizado ese programa. Mencionar una tecnología de vigilancia no demuestra que se haya instalado ni que el teléfono esté comprometido. La credibilidad de una acusación no depende del nombre técnico que incluya, sino de las pruebas que puedan verificarse, y estos mensajes suelen apoyarse sobre todo en afirmaciones y presión psicológica.

Qué hacer al recibir uno de estos mensajes

La pauta indicada por Incibe es no pagar, no responder y no continuar la conversación. Si el mensaje no aporta pruebas verificables, se puede marcar como spam o correo no deseado y eliminarlo. Antes de hacerlo, quien necesite conservar constancia puede guardar el correo o tomar capturas, especialmente si hay datos que permitan identificar el intento de extorsión. No abrir enlaces ni archivos adjuntos evita añadir riesgos a una amenaza que, en muchos casos, se limita al propio texto del mensaje.

La reacción no debe basarse únicamente en que el correo parezca enviado desde la dirección propia. Si preocupa la seguridad de una cuenta, es razonable revisar si existen accesos o cambios que la persona no reconoce y reforzar su protección, por ejemplo, con una contraseña única y autenticación en dos pasos cuando el servicio lo permita. Estas medidas son distintas de obedecer al chantaje: pagar no sustituye una revisión de seguridad y tampoco demuestra que el dispositivo estuviera infectado.

Si hay indicios independientes de acceso no autorizado, como cambios inesperados en la cuenta o actividad que la persona no reconoce, el problema ya no se reduce a la amenaza del correo. En ese caso, es pertinente acudir a los canales de soporte de los servicios afectados o solicitar orientación especializada. La distinción importa: el mensaje genérico no justifica dar por cierta una infección, pero las señales concretas de actividad desconocida tampoco deberían ignorarse. La respuesta adecuada depende de las pruebas disponibles, no del tono dramático del remitente.

Si ya se ha pagado, conservar las pruebas

Quien haya enviado dinero no debería borrar de inmediato toda la conversación. Incibe recomienda conservar las evidencias disponibles, como el mensaje, las capturas de pantalla y cualquier información relacionada con el pago, y ponerse en contacto con las Fuerzas y Cuerpos de Seguridad del Estado para presentar una denuncia. Guardar los datos del monedero y de la transacción puede ayudar a documentar lo ocurrido, aunque no garantiza que los fondos puedan recuperarse ni que sea posible identificar rápidamente a quien los recibió.

Después de un pago, también es importante desconfiar de quien prometa recuperar el dinero a cambio de otra transferencia o afirme poder borrar el supuesto vídeo. Esa oferta puede ser una segunda estafa dirigida a alguien que ya ha mostrado que está bajo presión. No hay base para asumir que pagar una vez haya silenciado al extorsionador, y enviar más fondos no asegura que la amenaza desaparezca. La denuncia y la conservación de pruebas son pasos distintos de cualquier promesa de recuperación, que debe tratarse con cautela.

El miedo a que el contenido se difunda puede hacer difícil contar lo sucedido, pero la vergüenza es precisamente una de las palancas que utiliza la sextorsión. El mensaje intenta aislar a la víctima y empujarla a resolverlo en secreto; mantener las pruebas y comunicar el fraude a las autoridades permite que quede constancia. Si existe una amenaza específica o material íntimo real, la valoración de las medidas legales corresponde a las autoridades y a los profesionales competentes, no al extorsionador que fija un plazo para cobrar.

Qué ocurre si publican información privada

Incibe también recomienda comprobar durante los meses siguientes si aparece información vinculada a la persona al buscar su nombre en buscadores y redes sociales. Esa vigilancia no significa que la publicación vaya a producirse: sirve para detectar si la amenaza se ha materializado y actuar con información concreta. Una búsqueda periódica puede ayudar a localizar contenido visible, pero no permite garantizar que no exista material en espacios que no se indexan o que no son accesibles públicamente.

Si se encuentra contenido personal publicado sin autorización, se puede pedir su retirada a la plataforma correspondiente y valorar el ejercicio del derecho de supresión o del llamado derecho al olvido en los términos previstos por la normativa de protección de datos. No implica que cualquier publicación vaya a desaparecer automáticamente ni que todos los casos tengan el mismo resultado. La retirada depende del contenido, de dónde se haya difundido y de las reglas aplicables; la Agencia Española de Protección de Datos ofrece el marco institucional para las reclamaciones relacionadas con datos personales.

La amenaza de difundir imágenes íntimas merece atención, pero no conviene dar por hecho que ya exista una grabación. Si el correo es genérico, no muestra material y se apoya en afirmaciones que podrían enviarse a muchas direcciones, eso no confirma que el remitente posea vídeos. Si, en cambio, adjunta imágenes reales o aporta datos específicos que no son públicos, la situación deja de parecerse a un simple mensaje masivo y requiere conservar las pruebas y acudir a las autoridades. La respuesta cambia cuando aparecen evidencias concretas, no porque el correo insista en que el acceso fue total.

Una campaña que se renueva con el mismo mecanismo

Estos correos pueden cambiar de redacción, remitente o referencia tecnológica, pero conservan un esquema reconocible: una supuesta intrusión, la amenaza de exposición íntima, un plazo corto y una solicitud de pago en criptomonedas. La persistencia del método no significa que cada nuevo mensaje corresponda a una nueva infección. En ocasiones, el engaño se sostiene en un texto que busca asustar a muchas personas, con la esperanza de que algunas paguen antes de analizarlo. La repetición de la amenaza no equivale a una prueba de vigilancia real.

El mecanismo se apoya menos en una demostración técnica que en una reacción humana. La intimidad amenazada, el temor a que el mensaje llegue a familiares o compañeros y la urgencia impuesta forman una combinación eficaz para precipitar decisiones. Por eso, separar lo que el remitente afirma de lo que puede probarse es central: una dirección aparentemente propia puede estar falsificada, el nombre de un programa espía puede usarse como atrezzo y el plazo de dos días no acredita que exista un vídeo.

La advertencia de Incibe devuelve el foco a una precaución sencilla: no convertir una amenaza sin pruebas en un pago irreversible. Marcar el mensaje como no deseado y borrarlo es la respuesta indicada ante el correo descrito; conservar evidencias y denunciar corresponde a quien ya pagó o necesita dejar constancia del fraude. Si aparecen señales verificables de acceso a una cuenta o de difusión de datos, deben tratarse por separado y con ayuda de los canales adecuados. El miedo que intenta provocar el mensaje no es una prueba de que su historia sea cierta.