Recibir un correo que parece provenir de tu propia dirección de Microsoft Outlook, amenazando con difundir supuestos vídeos íntimos si no pagas 1 550 US$ en Litecoin, puede resultar alarmante. Sin embargo, se trata de una campaña masiva de sextorsión con suplantación del remitente (“spoofing”); el atacante no ha tomado el control real de tu cuenta ni instalado el spyware Pegasus. En esta guía aprenderás a verificar la seguridad de tu cuenta, a proteger tus dispositivos y a denunciar el incidente sin ceder al chantaje.

Identificar la estafa de sextorsión

Estas campañas combinan ingeniería social y spoofing:

• Remitente falsificado: El ciberdelincuente manipula el encabezado “From” para que aparezca tu propia dirección. No significa que posea tus credenciales.
• Amenaza genérica: Alega haber instalado Pegasus y grabado tu webcam, pero nunca aporta pruebas verificables (ej. capturas reales, contraseñas tuyas actuales, fragmentos de vídeo).
• Pago urgente en criptomoneda: Exige criptomonedas (Litecoin o Bitcoin) para dificultar rastreo y presiona con un límite temporal (24‑48 h).
• Errores de contexto: Suele contener traducciones pobres, detalles técnicos incorrectos o mezclas de plataformas (p. ej., hablar de iCloud y Outlook en el mismo párrafo).

No responder ni pagar al estafador

La mayor parte de las víctimas que ignoran o denuncian estos correos no sufren filtraciones posteriores, porque el atacante carece de contenido real. Seguir interactuando solo confirma que la dirección es activa y te expone a más campañas.

• Borra o mueve a correo no deseado.
• No abras adjuntos ni sigas enlaces (pueden dirigir a malware o formularios de phishing).
• No reenvíes en cadena; conserva el mensaje íntegro solo para denuncia oficial.

Pasos para asegurar tu cuenta Microsoft

Cambiar la contraseña

Si llevas mucho tiempo con la misma clave o la usas en otros servicios, cámbiala de inmediato. Requisitos recomendados:

• 12‑16 caracteres como mínimo.
• Combinación aleatoria de mayúsculas, minúsculas, números y símbolos.
• Evita datos personales, frases de diccionario o patrones de teclado.

Considera un gestor de contraseñas para generar y almacenar credenciales únicas.

Activar la autenticación multifactor (MFA)

Con MFA, un atacante necesitaría algo más que la contraseña. En Microsoft 365 — incluido Outlook.com — puedes optar por:

• Notificaciones push en la app Microsoft Authenticator.
• Códigos TOTP (30 s) offline.
• Llaves de seguridad FIDO2 (YubiKey, Feitian).

Revisar el historial de inicio de sesión

En portal de seguridad de la cuenta:

1. Entrar a Seguridad → Actividad de inicio de sesión.
2. Verificar región, IP y dispositivo de cada acceso.
3. Seleccionar No reconozco esto para que Microsoft cierre la sesión y solicite contraseña.

Revocar aplicaciones y dispositivos

En Panel de seguridad → Aplicaciones y servicios:

• Revoca tokens OAuth de apps que ya no uses.
• Elimina consolas o dispositivos obsoletos (teléfonos antiguos, PCs formateados).

Comprobar y limpiar los dispositivos

Análisis antivirus profundo

El presunto espionaje con Pegasus suele ser falso, pero aprovecha para descartar amenazas reales:

• Ejecuta Microsoft Defender Offline (arranca antes de Windows y detecta rootkits).
• Actualiza la base de firmas y haz un scan completo.
• En Android/iOS, analiza con aplicaciones oficiales (Defender Mobile, Malwarebytes).

Actualizaciones de sistema y aplicaciones

Los exploit kits se apoyan en software desactualizado. Mantén siempre:

• Windows Update en modo automático.
• Patch Tuesday: revisa los cumulative updates mensuales.
• Navegadores, extensiones y plug‑ins actualizados a la última versión estable.

Fortalecer los filtros anti‑phishing

Outlook.com y Microsoft 365 incluyen filtros inteligentes que aprenden del usuario:

• Marca el mensaje como phishing (Junk → Phishing → Report). Esto remite metadatos al sistema de reputación de Microsoft.
• Mantén activa la opción Block attachments, pictures and links from anyone not in my Safe Senders cuando sea viable.
• Si usas un dominio personalizado en 365, implementa SPF, DKIM y DMARC con políticas “quarantine” o “reject” para reducir spoofing.

Checklist de respuesta rápida

Acción	¿Por qué es importante?	Tiempo estimado
Cambiar contraseña y habilitar MFA	Impide accesos futuros incluso si la clave actual fuera filtrada.	10 min
Revisar actividad sospechosa	Detecta sesiones ya iniciadas por terceros.	5 min
Análisis antivirus offline	Elimina malware resistente o en memoria.	30‑60 min
Reportar el correo a Microsoft	Alimenta los filtros globales y te da prueba de denuncia.	2 min
Actualizar sistema y apps	Cierra vulnerabilidades usadas por exploit kits.	Variable

Cómo denunciar el incidente

Conservar los encabezados originales es vital para rastrear la IP de origen:

1. En Outlook Web, abre el mensaje → Más acciones → Ver origen del mensaje → Descargar.
2. Adjunta ese archivo .eml a un nuevo correo dirigido a:
   
   • reportphishing@microsoft.com
   • abuse@outlook.com
3. Incluye breve descripción (“Sextorsión spoofing” y fecha).
4. En países con brigadas de ciberdelitos, presenta denuncia: Policía Nacional (ES), Guardia Civil (GDT), Policía Federal (MX), etc.

La denuncia formal facilita bloqueos de monederos y registros de investigación.

Buenas prácticas a largo plazo

Formación continua

Actualiza tu cultura de ciberseguridad con recursos gratuitos:

• Portal “Microsoft Security basics: Protect your account”.
• Alertas de amenazas en el Centro de operaciones de seguridad de Microsoft (MSOC).
• Blogs de laboratorios independientes (Malwarebytes, ESET, Kaspersky) sobre nuevas variantes de sextorsión.

Gestión de contraseñas profesional

Si administras varias cuentas (corporativas y personales), adopta un gestor corporativo (Entra ID Passwordless, 1Password Business) y políticas de rotación supervisadas. Evita reutilización de claves; el 64 % de brechas relacionadas con correo comienzan con credenciales recicladas.

Segmentación de dispositivos y redes

Mantén separados los dispositivos de trabajo y personales; usa redes Wi‑Fi de invitados para dispositivos IoT; aplica VLAN o perfiles MDM. Si un actor compromete un terminal, limitarás su movimiento lateral y preservarás la información sensible.

Preguntas frecuentes

¿El correo demuestra que Pegasus está instalado?
No. Pegasus es un spyware sofisticado que deja rastros en registros forenses; un simple correo no es prueba. La suplantación del remitente es trivial y no requiere infiltración.

He visto mi contraseña antigua en el mensaje, ¿debo preocuparme?
Esa contraseña procede de filtraciones públicas (LinkedIn 2012, Adobe 2013, etc.). Cámbiala en todos los servicios donde aún siga activa y habilita MFA.

Si pago, ¿el atacante borrará los archivos?
Históricamente, los ciberdelincuentes no mantienen palabra; podrían seguir extorsionando con nuevas demandas. Pagar financia la actividad criminal y no garantiza solución.

¿Puede la policía rastrear Litecoin?
Las transacciones en blockchain son seudónimas, no anónimas. Con orden judicial se puede identificar el exchange que arcóbró el retiro y vincularlo a un usuario. Aporta siempre la dirección de pago en tu denuncia.

Conclusión

El correo de sextorsión que simula provenir de tu propia cuenta de Outlook es una táctica de miedo que aprovecha el desconocimiento técnico. Al actuar con calma — sin pagar, reportando el mensaje y reforzando la seguridad de la cuenta y los dispositivos — neutralizas la amenaza y fortaleces tu postura ante futuros intentos.