¿Te ha llegado un mensaje con asunto “Security Alert: Immediate Action Required” firmado por “The Microsoft Security Team” que asegura haber encontrado troyanos y spyware en tu PC y te pide instalar un supuesto “Microsoft‑Recommended Antivirus Software”? No eres la única persona. Esta campaña de phishing aprovecha la confianza en la marca Microsoft para robar datos e infectar equipos. A continuación aprenderás a identificarla, neutralizarla y, sobre todo, evitar que vuelva a sorprenderte.

Por qué este correo es un fraude

Las estafas usan técnicas cada vez más sofisticadas, pero todas dejan pistas inconfundibles. En el caso de “Critical Security Update”, las señales de alerta son claras:

• Origen dudoso. Microsoft jamás envía alertas de malware a través de correo. Todas las notificaciones legítimas de Defender aparecen como ventanas emergentes locales, no en la bandeja de entrada.
• Dominio falsificado. El remitente suele terminar en @outlook-security.com, @msonline‑secure.org o variaciones parecidas. Ninguna pertenece al ecosistema oficial @microsoft.com.
• Listado genérico de amenazas. Nombres como Trojan32/Hoax.Renos.HX son demasiado amplios y frecuentes en campañas masivas. Microsoft Defender indicaría rutas concretas, fecha y hora exactas de detección.
• Urgencia extrema. Mensajes que exigen “acción inmediata” pretenden que actúes sin pensar. Las alertas originales de Windows ofrecen más información, enlaces a la documentación oficial y jamás presionan con tiempo límite.
• Enlace sospechoso. Al pasar el cursor, la URL redirige a un dominio distinto que intenta descargar un instalador manipulado o abrir una página de inicio de sesión falsa.

Comparativa rápida: mensaje legítimo vs. phishing

Característica	Alerta legítima de Microsoft Defender	Correo “Critical Security Update”
Medio	Ventana del Centro de Seguridad de Windows	Correo electrónico HTML
Remitente	No aplica (se muestra localmente)	Dominios no oficiales, ortografía alterada
Tono	Informativo, con enlaces a soporte	Amenazante, exige clic inmediato
Acción propuesta	Botón “Iniciar acciones” dentro de Seguridad de Windows	Enlace externo hacia “antivirus recomendado”
Firma	No lleva firma; es parte del sistema	“The Microsoft Security Team” sin datos oficiales

Qué hacer si recibes el mensaje

1. No hagas clic: ni enlaces, ni imágenes, ni archivos adjuntos.
2. Marca como phishing en Outlook u otro cliente; así ayudarás a entrenar los filtros.
3. Elimina el correo de la bandeja de entrada y de “Elementos eliminados”.
4. Analiza tu PC con la protección ya instalada:
   • En Windows 10/11, abre Seguridad de Windows > Protección contra virus y amenazas > Examen rápido.
   • Si usas un antivirus de terceros certificado, ejecuta un análisis completo.

Cómo reportar la estafa

Microsoft mantiene canales dedicados para investigar fraudes:

• Reenvía el mensaje original (sin interactuar con él) a reportphishing@microsoft.com.
• En Outlook (versión de escritorio o Web) selecciona Reportar como phishing en el menú de opciones.
• No compartas tu número de teléfono. Muchas variantes de la campaña enlazan a “soporte técnico” falso que te llamará para vender servicios ilegítimos.

Protección preventiva: buenas prácticas

El mejor antídoto contra el phishing es la prevención informada. Sigue estas recomendaciones para minimizar riesgos a futuro:

Mantén tu software al día

Windows Update y Microsoft Defender se actualizan a diario. No desactives las actualizaciones automáticas. Los parches corrigen vulnerabilidades que los atacantes explotan poco después de hacerse públicas.

Verifica siempre el remitente y la URL

Pasa el cursor sobre el enlace sin hacer clic. Si el dominio no termina en .microsoft.com o incluye caracteres extraños (m1crosoft‑secure, micros0ft‑update), es probable que sea malicioso.

Activa la autenticación multifactor (MFA)

Incluso si revelas tu contraseña por accidente, un atacante necesitaría el segundo factor para acceder. Configura la app Microsoft Authenticator o SMS como respaldo.

Utiliza Microsoft Defender SmartScreen

Este filtro integrado en Edge y en Windows bloquea dominios conocidos por alojar malware o formularios de phishing antes de que carguen.

Capacita a los usuarios de tu organización

Si administras un entorno empresarial, impartir formación periódica reduce drásticamente las tasas de clic en enlaces maliciosos. Microsoft Defender para Office 365 incluye simulaciones de ataque y métricas de exposición.

Análisis técnico del enlace fraudulento

Para entender mejor la amenaza, examinemos cómo opera la URL que acompaña al mensaje (desde un entorno aislado, nunca en tu máquina de trabajo):

1. El enlace suele usar URL shortening (bit.ly, cutt.ly) para ocultar el destino real.
2. Hacer clic redirige a un dominio recién registrado (security‑microsoft‑scan[.]com, por ejemplo).
3. El servidor identifica el sistema operativo mediante el agente de usuario y ofrece:
   • Un archivo .exe con certificado autofirmado (Windows).
   • Un paquete .pkg (macOS) o archivo .apk (Android) en variantes dirigidas a otros sistemas.
4. El instalador contiene loaders que descargan cargas útiles adicionales desde dominios alojados en VPS anónimos.
5. Las cargas suelen incluir stealers de credenciales y troyanos de acceso remoto (RAT) como Agent Tesla o AsyncRAT.

Esta infraestructura cambia cada pocos días para evadir listas de bloqueo, por eso es vital reportar la amenaza cuanto antes.

¿Y si ya hice clic o instalé el falso antivirus?

No entres en pánico; actúa con rapidez:

1. Desconéctate de Internet para limitar la comunicación con el servidor de comando y control.
2. Ejecuta un análisis offline con Microsoft Defender desde Configuración > Actualización y seguridad > Seguridad de Windows > Opciones de inicio avanzado. Selecciona Escaneo sin conexión de Microsoft Defender. Reinicia cuando se solicite.
3. Restaura desde un punto de recuperación anterior a la instalación.
4. Cambia todas tus contraseñas, empezando por la cuenta Microsoft y las credenciales bancarias.
5. Habilita MFA si aún no lo tenías.
6. Si tu equipo forma parte de un dominio corporativo, informa al departamento de TI inmediatamente.

Preguntas frecuentes

¿Microsoft podría avisar por correo si alguien intenta acceder a mi cuenta?

Sí, pero esos avisos se refieren a inicios de sesión inusuales y jamás incluyen archivos adjuntos ni enlaces para instalar software. Únicamente enlazan al portal account.microsoft.com y recomiendan revisar la actividad de inicio de sesión.

¿Existen falsos positivos de Defender que se solucionen con un parche manual?

Muy raramente. Microsoft publica parches a través de Windows Update, no por correo individual. Si una actualización requiere intervención, el propio sistema la descargará y mostrará un aviso legítimo en Configuración > Windows Update.

¿Es seguro abrir el correo para leerlo?

Sí. En clientes modernos con la vista previa deshabilitada para HTML externo, leer el texto no ejecutará malware. El peligro comienza al hacer clic en enlaces o descargar adjuntos.

¿Cómo diferencio una URL oficial de Microsoft?

Todos los servicios corporativos usan dominios bajo el paraguas microsoft.com (por ejemplo, login.microsoftonline.com). Si el dominio principal termina en otra cosa, desconfía.

Conclusión

El correo “Critical Security Update” es un fraude diseñado para sembrar miedo y conseguir que instales software malicioso. Recuerda: Microsoft Defender nunca envía correos diciendo que “ha escaneado tu dispositivo” ni pide instalar antivirus externos. La mejor respuesta es ignorar, eliminar, reportar y reforzar tus defensas:

• Mantén actualizado Windows y su antivirus integrado.
• Sospecha de mensajes que prometen repararlo todo con un solo clic.
• Activa la autenticación multifactor.
• Educa a tu entorno para que nadie caiga en la trampa.

Siguiendo estas pautas, convertirás un intento de estafa en una lección práctica de ciberseguridad para ti y tu organización.