Un correo amenazante que asegura tener vídeos íntimos tuyos supuestamente grabados con el spyware Pegasus puede disparar las alarmas, sobre todo cuando el mensaje parece enviarse “desde” tu propia dirección. No te preocupes: se trata de una estafa de sextorsión con remitente falsificado y tiene solución.

Qué es la sextorsión por correo electrónico

La sextorsión combina el spam clásico con la amenaza de difundir contenido sexual si la víctima no paga. El estafador:

• Afirma haber instalado un programa de espionaje (en este caso, Pegasus) en tu dispositivo.
• Sostiene que grabó vídeos explícitos mientras navegabas por sitios para adultos.
• Exige un rescate en criptomonedas (normalmente Bitcoin o Monero) y fija un plazo para el pago.

Su objetivo es doble: provocar miedo y acelerar tu reacción. Cuanto antes pagues, menos indagarás en los detalles técnicos que desmontan el engaño.

Por qué citan Pegasus y no otro malware

Pegasus, desarrollado originalmente por NSO Group para agencias gubernamentales, se ha convertido en sinónimo de “software de espionaje avanzado”. Al invocarlo, el delincuente logra:

• Credibilidad instantánea: la prensa ha cubierto Pegasus de forma extensa, por lo que el nombre suena creíble y peligroso.
• Confusión técnica: la mayoría de los usuarios no sabe detectar si está infectado realmente.
• Presión psicológica: la asociación con espionaje estatal añade gravedad a la amenaza.

Cómo identifican tu dirección y falsifican el remitente

El atacante suele extraer direcciones de bases de datos filtradas en Internet o de foros “combo lists”. Posteriormente falsifica el campo From: mediante técnicas de spoofing. Esto no implica que tu buzón esté hackeado: simplemente modifica la cabecera visible sin necesidad de autenticarse en tu servidor.

Anatomía de un mensaje falsificado

Un encabezado típico incluye varias líneas Received:. La primera IP externa que aparezca tras tu proveedor es la clave para rastrear la verdadera procedencia. Obsérvalo en este ejemplo (fragmento resumido):

Return-Path: <2123fgh@evilserver.ru>
Received: from evilserver.ru (unknown [185.243.123.44])
        by mail.yourprovider.com with ESMTP id A1B2C3D4
        for <tu_correo@example.com>;
        Tue, 19 Aug 2025 16:42:09 +0000 (UTC)
From: tu_correo@example.com
Subject: SEXTORSIÓN Pegasus

Aunque From: muestra tu dirección, Return-Path y la IP evidencian que el correo se originó desde un servidor ruso sin relación contigo.

Guía rápida de actuación

Acción	Objetivo
Eliminar el mensaje	Evitar nuevos disparadores de estrés; impedir hacer clic por error.
Marcar como spam	Entrenar filtros automáticos y reducir futuras entregas.
No responder ni pagar	No hay material real; pagar solo financia la estafa.
Cambiar contraseñas reutilizadas	La dirección pudo aparecer en filtraciones antiguas.
Activar 2FA	Añade una capa de seguridad ante intentos de acceso.
Comprobar reglas/reenvíos	Descartar que un atacante haya creado filtros en tu buzón.
Ejecutar un análisis antivirus	Tranquilidad extra; confirma que no hay malware real.

Verificando los encabezados paso a paso

1. Outlook (web): abre el correo > “⋮” > “Ver origen del mensaje”.
   Outlook de escritorio: archivo > propiedades > “Encabezados de internet”.
2. Localiza la primera línea Received: que NO sea interna de Microsoft.
   Copia la IP (ejemplo: 185.243.123.44).
3. Pega la IP en un servicio de búsqueda de WHOIS público para ver el país y el proveedor.
4. Si coincide con un host extranjero o un centro de datos masivo, confirma el fraude.

Si necesitas ayuda para interpretar la salida, elimina datos personales y consulta a un técnico de confianza.

¿Por qué llegó a la carpeta “Junk” si parecía enviado por mí?

Outlook aplica revisiones automáticas de autenticación SPF y DKIM:

• Si la dirección From: no coincide con el dominio autorizado en SPF, lo marca como sospechoso.
• Sin firma DKIM válida, se pierde la integridad del remitente.
• El motor de reputación detecta patrones comunes de sextorsión y relega el mensaje a Junk.

En resumen, que aparezcas como remitente no significa que tu buzón haya sido vulnerado.

¿Existe riesgo real de Pegasus?

El verdadero Pegasus explota fallos zero‑click en iOS y Android, vende licencias a gobiernos y deja huellas forenses complejas. Implementarlo contra un usuario medio requiere recursos millonarios y acceso privilegiado. Los estafadores de spam masivo:

• No seleccionan individuos uno a uno; envían millones de correos genéricos.
• No tienen capacidad técnica para comprometer tus dispositivos a ese nivel.
• Apuestan a que el miedo les genere un porcentaje de pagos.

Por tanto, no hay indicios de software espía real; es mera ingeniería social.

Pasos avanzados para reforzar la seguridad

Aunque el mensaje sea falso, puedes aprovechar para elevar tu higiene digital:

Contraseñas únicas y gestores

Usa un gestor confiable para generar claves aleatorias y evitar la reutilización. Si un sitio sufre una brecha, tu correo principal permanecerá protegido.

Autenticación de dos factores

Prefiere aplicaciones de códigos temporales (TOTP) sobre SMS. Servicios como Outlook, Gmail, Facebook o bancos ya permiten activarla.

Actualizaciones regulares

Instala parches de sistema operativo y navegador tan pronto como estén disponibles. Muchos exploits se basan en vulnerabilidades ya resueltas.

Copias de seguridad cifradas

Una copia externa (disco USB o nube segura) te protege ante ransomware y fallos físicos.

Monitorización de filtraciones

Regístrate en servicios de vigilancia de breaches para recibir alertas cuando tu correo aparezca en nuevas filtraciones.

Preguntas frecuentes (FAQ)

¿Debo denunciar el correo? Sí. Reenvíalo a tu proveedor como abuse@ y a las autoridades locales de ciberseguridad. Tus reportes ayudan a bloquear direcciones IP maliciosas. ¿Qué pasa si ya pagué? No hay garantía de que dejen de acosarte. Bloquea toda comunicación futura y refuerza tus contraseñas. Considera notificar a tu banco o plataforma de intercambio. Me siento angustiado. ¿Es normal? Sí. La sextorsión apunta al miedo y la vergüenza. Hablar con un profesional o una persona de confianza suele aliviar la presión. El correo contiene una antigua contraseña mía, ¿cómo la obtuvieron? Probablemente provenga de una base de datos filtrada. Cambia esa clave en cualquier otro servicio donde aún la uses.

Casos reales y estadísticas

Investigaciones de firmas de ciberseguridad muestran que las campañas de sextorsión obtienen entre el 3 % y el 5 % de víctimas que pagan. Aunque la cifra parezca baja, envían millones de correos, por lo que los beneficios siguen siendo lucrativos.

Las transacciones rastreadas en la cadena de bloques indican que una única wallet asociada a una campaña Pegasus acumuló más de 1,2 BTC (≈ 40 000 USD al momento de la estafa) en un mes, lo que subraya la importancia de la prevención.

Cómo educar a tu entorno

1. Comparte esta guía con familiares y colegas.
2. Organiza talleres breves de higiene digital en tu empresa o grupo de amigos.
3. Simula escenarios de phishing para que practiquen sin riesgo.

Checklist imprimible

Copia esta lista y pégala en un documento o correo para tenerla a mano:

• Eliminar el mensaje de sextorsión.
• Marcar como spam.
• No responder al remitente.
• Cambiar contraseñas reutilizadas.
• Activar 2FA.
• Revisar reglas de reenvío.
• Ejecutar análisis antivirus.

Conclusión

La amenaza de un correo de chantaje con “Pegasus spyware” combina ingeniería social, miedo y falsificación de remitente. Sin embargo, ningún indicio técnico respalda la existencia de un virus ni de vídeos comprometedores. Con las medidas descritas—eliminar, no pagar, reforzar contraseñas y 2FA—neutralizas la estafa y blindas tus cuentas contra futuros intentos.