Recibes un mensaje alarmante supuestamente enviado por “ti mismo”, donde alguien exige un pago en bitcoin o amenazan con publicar imágenes íntimas grabadas con tu cámara. A primera vista parece que tu buzón ha sido vulnerado, pero en la mayoría de los casos es solo spoofing: falsificación del campo “De:”. En este artículo aprenderás a verificarlo con herramientas que ya tienes a mano, a blindar tu cuenta y a recuperar la tranquilidad.

Panorama general del engaño

La campaña pertenece a la corriente de sextorsión por correo electrónico. El atacante:

• Usa tu propia dirección como remitente para darle urgencia y credibilidad.
• Aporta una contraseña antigua filtrada en alguna brecha pública para intimidar.
• Pide un rescate en bitcoin y da un plazo de pocas horas para presionarte.

El truco psicológico juega con el miedo: si el mensaje proviene de tu dirección, “seguro que entraron en tu cuenta”. La realidad técnica es diferente.

Por qué aparece tu propia dirección como remitente

Enviar correo SMTP permite escribir casi cualquier cosa en el campo “De:”. Mientras el servidor del atacante no compruebe que es dueño del dominio —o tu proveedor no verifique SPF, DKIM y DMARC— el mensaje seguirá su camino. Por eso:

1. No verás el correo en “Elementos enviados”.
2. El mensaje aparecerá en “Spam” o “Correo no deseado”.
3. Las cabeceras mostrarán que salió de un servidor ajeno.

Paso a paso para confirmar que no te han hackeado

Inspección visual rápida

No abras archivos adjuntos ni hagas clic en enlaces. Observa:

• Asunto: suele incluir tu nombre o parte de tu contraseña filtrada.
• Fecha: muchos correos llegan de madrugada para que el susto te despierte.
• Carpeta: si cae en spam, tu proveedor lo identifica como sospechoso.

Revisión de cabeceras completas

Las cabeceras son el “historial de viaje” de un e‑mail. Así las obtienes:

• Outlook de escritorio: Archivo → Propiedades → Contenido de internet.
• Outlook.com: ⋯ (Más acciones) → Ver → Ver origen del mensaje.

Copia y pega el bloque en un analizador de cabeceras (local o en línea). Busca estas señales:

• Líneas Received: provenientes de hosts extraños, no de Microsoft ni de tu ISP.
• Ausencia de firmas DKIM‑Signature o fallos en SPF.
• Direcciones IP geográficamente lejanas a tu país.

Control de actividad de inicio de sesión

Cada proveedor ofrece un panel para ver accesos recientes:

• Outlook.com: Configuración → Privacidad y seguridad → Inicios de sesión recientes.
• Gmail: Detalles → Actividad de la cuenta → Información detallada.
• Yahoo Mail: Perfil → Actividad de la cuenta.

Comprueba ubicación, fecha y dispositivo. Si solo figuran tus propios inicios (portátil, móvil habitual), no hay indicios de intrusión.

Escaneo antimalware en tus dispositivos

Aunque el correo sea falso, aprovecha para pasar tu antivirus o Microsoft Defender con motor actualizado. Busca:

• Extensiones de navegador sospechosas.
• Programas de escritorio que no recuerdas haber instalado.
• Herramientas de administración remota (RAT) no autorizadas.

Análisis de contraseñas filtradas

Si el atacante menciona una contraseña correcta pero antigua, probablemente provenga de una violación ajena: Adobe 2013, LinkedIn 2016, etc. Verifícalo con servicios de comprobación de brechas o con tu gestor de contraseñas.

Tabla comparativa: suplantación versus compromiso real

Indicador	Suplantación (spoofing)	Compromiso real
Correo en “Enviados”	No aparece	Aparece el mensaje fraudulento enviado
Cabeceras SMTP	IP ajena, SPF falla, sin DKIM	Servidor de tu proveedor, SPF y DKIM válidos
Actividad de inicio	Solo accesos habituales	Inicios desde ubicaciones o dispositivos desconocidos
Archivos adjuntos en la nube	Sin cambios recientes anómalos	Descargas o eliminaciones no autorizadas
Antivirus	Sin hallazgos	Malware, keyloggers o RAT detectados

Medidas inmediatas para blindar tu cuenta

Cambia la contraseña

Aunque no hayan entrado, si el correo menciona una contraseña antigua, cámbiala de inmediato. Genera una frase larga o usa el gestor de contraseñas integrado de tu navegador.

Activa el doble factor de autenticación

El MFA impide que una clave robada sea suficiente. Los mejores métodos:

• Aplicación autenticadora (Microsoft Authenticator, Google Authenticator).
• Llaves de seguridad FIDO U2F – una física en tu llavero y otra de respaldo en casa.
• Passkeys basadas en tu teléfono con biometría.

Revisa reglas y reenvíos

En Outlook revisa:

• Reglas de bandeja de entrada que reenvíen todo a otra dirección.
• Accesos delegados que no reconozcas.
• Conexiones IMAP sospechosas en opciones avanzadas.

Actualiza sistema y aplicaciones

Los exploits más rentables usan fallos viejos parcheados hace meses. Mantén:

• Windows Update en automático.
• Navegadores y complementos al día.
• Software de videoconferencia y correo en la última versión.

Buenas prácticas permanentes

Haber sufrido un susto es la mejor motivación para elevar tu postura de seguridad. Incorpora estos hábitos:

1. Contraseñas únicas para cada servicio, almacenadas en gestor confiable.
2. Copias de seguridad regulares en disco externo cifrado y en la nube.
3. Desconfianza sana de correos con sentido de urgencia, chantaje o referencias sexuales.
4. Conocimiento básico de cabeceras SPF, DKIM y DMARC para validar remitentes.
5. Formación continua en phishing y buenas prácticas para tu familia o compañeros.

Preguntas frecuentes

¿Debo responder al atacante?

No. Cualquier interacción confirma que tu dirección está activa y puede generar más spam.

¿Puedo denunciarlo a las autoridades?

Sí. Guarda el correo con cabeceras completas y presenta una denuncia por intento de extorsión. La policía cibernética de tu país puede agrupar casos similares para rastrear billeteras de criptomonedas.

¿La cámara de mi portátil puede encenderse sin que lo note?

En la mayoría de equipos modernos el LED de la cámara está cableado a la alimentación del sensor: si el LED no se enciende, el sensor no recibe corriente. Aun así, un malware sofisticado podría suplantar el indicador; por precaución usa un obturador físico cuando no estés en videollamadas.

¿Basta con marcar el correo como spam?

Marcarlo ayuda a tu proveedor a afinar filtros, pero no sustituye los pasos de cambio de clave y activación de MFA.

Conclusión

La mayoría de los correos “de mí para mí” con amenazas y exigencias en bitcoin son simples estratagemas de suplantación. Si las cabeceras demuestran un origen ajeno y tu panel de actividad no muestra accesos extraños, puedes respirar tranquilo: tu cuenta sigue bajo tu control. Aprovecha el incidente para reforzar tu contraseña, habilitar el doble factor y familiarizarte con las señales de un correo legítimo frente a uno falsificado. La próxima vez podrás identificar el engaño de un vistazo y desecharlo sin sobresaltos.