Cómo identificar y frenar la estafa de sextorsión “Pegasus spyware” que suplanta tu propio correo en Outlook

Si recibes un correo que afirma haber instalado “Pegasus” en tu equipo y amenaza con publicar videos íntimos si no pagas en criptomonedas, no entres en pánico: es una campaña masiva de sextorsión basada en suplantar tu propia dirección de correo, no un hackeo real.

Problema principal

• El mensaje llega con asuntos como “Pervert Scam / Pegasus spyware” o variantes alarmistas.
• Asegura que Pegasus –un software de espionaje gubernamental– infectó tu PC o móvil.
• Amenaza con divulgar supuestos videos comprometedores a menos que pagues un rescate en Bitcoin o Litecoin dentro de 48 horas.
• Parece venir de tu propio buzón (“Note to self”) gracias a técnicas de spoofing que falsifican el remitente.
• Emplea lenguaje intimidante, mezcla tecnicismos con groserías y trata de crear sensación de urgencia extrema.

Diagnóstico: por qué es un fraude

Los encabezados del correo desmienten la historia. Las pistas técnicas más comunes se resumen así:

Pista en el encabezado	Qué indica	Conclusión
spf=fail o spf=softfail	La IP emisora no figura en el registro SPF legítimo del dominio.	El remitente fue falsificado; nadie inició sesión en tu cuenta.
dkim=none	El mensaje no lleva firma digital del dominio auténtico.	Confirma la suplantación.
No hay copia en “Enviados”	Tu buzón no muestra que lo hayas enviado tú mismo.	Tu cuenta no fue comprometida.

Clave: Pegasus es un software extremadamente caro y selectivo, vendido solo a gobiernos. Los ciberdelincuentes de campañas masivas no malgastan millones en licencias; usan el miedo y la ingeniería social.

Solución recomendada y buenas prácticas

1. No respondas ni pagues.
   Transferir criptomonedas confirma que tu dirección es válida y abre la puerta a nuevas extorsiones.
2. Verifica los encabezados.
   En Outlook Web: clic derecho sobre el mensaje ▸ Ver origen del mensaje ▸ localiza las líneas SPF, DKIM y DMARC.
3. Cambia contraseñas y activa 2FA.
   
   • Cuenta Microsoft / Outlook.
   • Servicios que compartan la misma contraseña.
4. Revisa el historial de inicio de sesión.
   Outlook ▸ Seguridad ▸ Actividad de inicio. Busca accesos extraños.
5. Escanea tus dispositivos.
   Ejecuta Windows Defender, Malwarebytes u otro antivirus actualizado. Mantén sistema operativo y navegador al día.
6. Denuncia y elimina.
   
   • Marca el mensaje como phishing en Outlook.
   • Opcional: reporta en la agencia gubernamental local (por ejemplo, IC3 del FBI si resides en EE. UU.).
7. Refuerza la protección contra spoofing.
   
   • Desactiva POP/IMAP y reenvío automático si no los usas.
   • Mantén registros SPF, DKIM y DMARC correctamente configurados (relevante para empresas o dominios propios).

Aclaraciones frecuentes

“¿Softfail es seguro?”

Sí. Tanto softfail como hardfail significan que el mensaje no pasó la verificación SPF; la diferencia radica en la política del dominio, no en el riesgo para ti.

“¿Realmente tienen acceso a mi cámara o fotos?”

No. El correo se envía de forma masiva y no demuestra intrusión en tus equipos. La amenaza se basa en crear miedo, no en hechos.

“¿Por qué veo mi nombre o avatar en el remitente?”

El cliente de correo muestra tu imagen porque el campo From: está manipulado con tu propia dirección. Es un truco de presentación, no prueba de hackeo.

“¿Pasa algo si ya abrí el mensaje?”

No instales archivos ni hagas clic en enlaces. Abrir texto plano no ejecuta malware; simplemente elimina y reporta.

Pasos extra para mayor tranquilidad

• Bloquea la IP o dominio en la configuración avanzada de Outlook.
• Usa un gestor de contraseñas con claves únicas, largas y aleatorias.
• Cubre o desconecta tu webcam si te ayuda a reducir ansiedad.

Análisis técnico adicional

Si te gusta la parte nerd, revisa detenidamente las cabeceras completas. Normalmente encontrarás:

• Servidores de origen en redes de alojamiento barato o comprometidas (VPS anónimos, botnets).
• Dominios “burner” que redirigen a billeteras de criptomonedas.
• Ausencia total de indicadores de Pegasus genuinos: no hay exploits, no se usan certificados de firma de NSO Group, ni hay tráfico C&C.

Con estas pistas, podrás explicar a cualquier colega por qué el mensaje es un simple sextortion scam genérico.

Buenas prácticas de ciberhigiene en Outlook

La inmensa mayoría de las estafas por correo se frenan aplicando políticas sencillas:

1. Autenticación multifactor obligatoria. Aunque roben tu contraseña en otra brecha, sin el segundo factor no podrán entrar.
2. Bloqueo de archivos adjuntos ejecutables. Outlook permite restringir .exe, .js, .vbs y formatos que suelen propagar malware.
3. Politicas de anti-spam y anti-phishing. Aprovecha la inteligencia de Microsoft Defender for Office 365 o soluciones equivalentes para aislar correos maliciosos.
4. Educación continua al usuario. Nada sustituye recordatorios periódicos sobre cómo detectar correos falsos, especialmente los que usan intimidación sexual.

Psicología detrás de la extorsión sexual

Los atacantes explotan la vergüenza y el miedo a la exposición social. Saben que:

• Es más probable que la víctima actúe de forma impulsiva cuando cree que la amenaza es privada e íntima.
• Las víctimas se sienten reacias a pedir ayuda por pudor, lo que reduce la tasa de denuncias.
• Un plazo corto (48 h) reduce el tiempo de reflexión y verificación.

Conocer estas tácticas ayuda a neutralizar el efecto psicológico: respira, revisa los hechos y decide con calma.

Qué hacer si ya pagaste

Aunque no exista forma de revertir una transacción en blockchain, todavía puedes:

1. Conservar capturas del correo, la transacción y los encabezados.
2. Presentar denuncia ante la policía cibernética de tu país. Las direcciones de Bitcoin pueden rastrearse a intercambios regulados.
3. Implementar de inmediato las recomendaciones de seguridad para evitar futuras extorsiones.

Preguntas para tu departamento de TI

Si gestionas un entorno corporativo, plantea estas cuestiones:

• ¿Tenemos registros SPF, DKIM y DMARC válidos y en modo reject?
• ¿Estamos monitorizando intentos de autenticación fallida en cuentas críticas?
• ¿Nuestros usuarios saben cómo reportar phishing desde el cliente de correo?
• ¿Existe un procedimiento de respuesta rápida ante correos de sextorsión masiva para evitar saturar el help desk?

Guía rápida para reconocer un spoofing de remitente

1. Ver “Return-Path” y “Received:” comprueba si pertenece al mismo dominio.
2. Busca la frase “Authentication-Results”. Allí aparecen los resultados SPF, DKIM y DMARC.
3. Contrasta las IPs. Una IP desde otra región o proveedor suele delatar el engaño.

Recomendaciones finales para usuarios novatos

No necesitas ser experto para protegerte:

• Crea un hábito de borrar correos sospechosos sin interactuar.
• Actualiza Windows y Office cuando el sistema lo sugiera.
• Configura un PIN en tu móvil para bloquear la SIM y evitar suplantaciones de número.

Conclusión

El correo “Pegasus/pervert scam” es una estafa de sextorsión que se basa en la suplantación del remitente, no en un espionaje real. Ignorar, denunciar y reforzar tus medidas básicas de seguridad (contraseñas robustas, 2FA, antivirus actualizado) son las acciones más efectivas. Mantén la calma: no hay indicios de que los atacantes tengan acceso a tu correo ni a tus dispositivos.