Si recibiste un email que dice haber instalado “Cobalt Strike Beacon” para grabarte y robar tus datos, estás ante una estafa de sextorsión con suplantación del remitente. Aquí tienes una guía clara para saber qué hacer, cómo verificar si tu cuenta está comprometida y cómo reforzar tu seguridad.

Diagnóstico: qué está pasando realmente

Estos mensajes son campañas masivas de sextorsión que usan spoofing (suplantación del remitente) para que el correo parezca enviado por ti mismo. El atacante no ha demostrado acceso real a tu equipo ni a tus cuentas: se limita a afirmar que instaló “Cobalt Strike Beacon”, que exfiltró tus datos y que publicará supuestos videos si no pagas en Bitcoin en 48 horas.

La urgencia artificial, el pago en criptomonedas y la jerga técnica buscan intimidarte. En la mayoría de los casos el correo termina en la carpeta de spam y no ocurre nada aunque pasen los 2 días: esto refuerza que es falso. Tampoco lo enviaste tú: el atacante modifica el campo “From” para aparentar que proviene de tu propia dirección.

Acciones inmediatas recomendadas

• No respondas ni pagues. Cualquier respuesta confirma que la dirección está activa.
• No abras adjuntos ni enlaces. Aunque sean “comprobantes” o “pruebas”, suelen ser maliciosos.
• Marca el mensaje como phishing y elimínalo. Si tu servicio lo permite, bloquea al remitente.

Cómo comprobar rápido si no salió de tu cuenta

Antes de preocuparte por una intrusión real, haz esta verificación express:

• Carpeta Enviados: busca el correo.
  • Si no está en Enviados, lo más probable es que sea spoofing.
  • Si sí aparece o ves envíos que no reconoces, trata el caso como posible compromiso de cuenta y aplica el plan de respuesta de más abajo.
• Actividad de inicio de sesión: revisa la sección de seguridad de tu proveedor (por ejemplo, “últimos accesos”, “dispositivos y ubicaciones”). Cierra sesiones desconocidas.
• Filtros y reenvíos: comprueba reglas de buzón (filtros que archivan, borran o reenvían) y forwarding automático a direcciones ajenas.

Señales típicas de fraude en estos correos

Señal	Qué indica	Cómo responder
Amenazas genéricas sin pruebas verificables	No existe evidencia de acceso real a tu equipo ni cuentas	No pagues, no contestes, marca como phishing
Cuenta regresiva de 48 h y pago en Bitcoin	Patrón clásico de extorsión anónima	Ignorar el ultimátum y eliminar
Jerga técnica grandilocuente (APT, “driver invisible”, “Beacon”)	Uso de tecnicismos para infundir miedo	Trátalo como engaño; no descargues nada
El mismo texto llega a varias personas	Campaña automatizada, no objetivo específico	Reportar como phishing y educar al equipo
El correo está en spam y nada ocurrió tras 48 h	Refuerzo de que es falso	Eliminar definitivamente

Qué es “Cobalt Strike Beacon” y por qué lo mencionan

Cobalt Strike es una herramienta comercial usada por equipos de seguridad para simulaciones de ataque; Beacon es uno de sus componentes. Los estafadores invocan ese nombre para sonar creíbles. Mencionar Beacon no prueba nada: si no aportan evidencia técnica verificable (registros de tu EDR/antivirus, archivos detectados, rutas específicas en tu equipo, capturas de pantalla consistentes, etc.), lo más probable es que sea puro humo.

Si realmente hubiera un “beacon” activo, verías indicadores de compromiso sostenidos: alertas del antivirus/EDR, procesos o servicios sospechosos que reaparecen, conexiones salientes inusuales o inestabilidad constante. La mayoría de las víctimas de estas campañas no presentan nada de eso.

Plan de respuesta si fuiste hackeado antes o tienes dudas razonables

Aunque el correo sea falso, si tuviste un incidente real en el pasado o notas algo raro, refuerza tu postura con este checklist. Hazlo desde un dispositivo confiable siempre que sea posible.

1. Cambia contraseñas críticas y habilita 2FA en tu correo principal, banca, redes sociales, almacenamiento en la nube y gestor de contraseñas. Evita reutilizar claves y usa un gestor confiable.
2. Cierra sesiones abiertas y revisa el historial de inicios de sesión y dispositivos. Revoca accesos OAuth sospechosos y elimina contraseñas de aplicación que no reconozcas.
3. Escanea el equipo con un antivirus actualizado y ejecuta un escaneo sin conexión (offline) para detectar malware que se oculta cuando el sistema está activo.
4. Actualiza sistema operativo, navegador y extensiones. Desinstala software y complementos que no reconozcas.
5. Comprueba filtraciones de credenciales en servicios de verificación de brechas. Si tu correo aparece en colecciones de contraseñas, restablece inmediatamente esas claves y las claves de recuperación.
6. Revisa reglas del buzón: filtros que marcan como leído, reenvían a terceros o borran. Elimínalas si no las creaste tú.
7. Si los síntomas persisten (lentitud inusual, conexiones extrañas, servicios que reaparecen), haz copia de seguridad de lo imprescindible y reinstala limpio el sistema.
8. Si administras un dominio propio, revisa SPF/DKIM/DMARC para reducir el spoofing (no lo elimina por completo). Empieza con un SPF correcto, firma con DKIM y aplica DMARC con política p=quarantine o p=reject progresiva según tus reportes.

Lista ultra breve para actuar sin perder tiempo

• Eliminar el correo y reportar como phishing.
• No pagar ni negociar.
• Verificar Enviados y accesos recientes.
• Refuerzo de seguridad: contraseñas nuevas, 2FA y escaneo offline.

Cómo identificar la suplantación en un vistazo

Si tienes conocimientos intermedios y quieres ir un paso más allá, puedes revisar encabezados del mensaje (cabeceras) en tu cliente de correo. Busca señales como:

• Return-Path que no coincide con tu dirección.
• Received-SPF: fail o softfail para tu dominio, cuando el correo “aparenta” venir de tu propio dominio.
• DKIM: falta de firma o firma inválida (cuando debería estar presente).
• Cadena de Received con servidores que no corresponden a tu proveedor.

Ojo: un atacante puede pasar algunos controles si envía desde dominios desechables o comprometidos. Por eso tu verificación prioritaria sigue siendo Enviados y actividad de acceso.

Qué hacer si ya contestaste o pagaste

• Si contestaste, no sigas la conversación. Configura filtros para bloquear el hilo. Refuerza tu seguridad y monitoriza cuentas por actividad inusual.
• Si pagaste, considera hacer una denuncia ante las autoridades competentes y guarda evidencias (cabeceras, direcciones de pago). No vuelvas a enviar dinero: suelen insistir si “funcionó”.

Medidas preventivas a largo plazo

• Autenticación multifactor en todas las cuentas posibles, preferentemente con aplicación de códigos o llaves de seguridad.
• Gestor de contraseñas para crear claves únicas y robustas.
• Actualizaciones automáticas del sistema y software clave.
• Concienciación: comparte con tu familia o equipo ejemplos de estas estafas para reducir el efecto sorpresa.
• Política de correo en organizaciones: filtros de contenido, aislamiento de adjuntos, inspección de URLs y DMARC con monitoreo (rua/ruf).

Guía rápida para equipos de TI

• Clasificar y bloquear estas campañas en el gateway de correo, aprovechando reputación de remitente y heurísticas de contenido (palabras de sextorsión, wallet de BTC, reloj de 48 h).
• Visibilidad en endpoints: asegurarse de que el antivirus/EDR esté desplegado, actualizado y con reportes centralizados.
• Playbooks de respuesta rápidos para usuarios que reporten “me escribí a mí mismo”. Proveer guías de captura de cabeceras.
• Autenticación de correo: SPF estricto, DKIM en todos los dominios que envían, DMARC con política que evolucione de none a reject con base en telemetría.
• Detección en red: alertas sobre conexiones salientes inusuales persistentes, beaconing periódicos y dominios generados algorítmicamente. (Mantener las detecciones en un nivel alto, sin exponer tácticas detalladas públicamente).
• Soporte al usuario: canal fácil para reportes de phishing, capacitación trimestral y simulaciones responsables.

Cómo hablar de “Beacon” sin entrar en pánico

Incluir la palabra Beacon no transforma el correo en una emergencia real. Es un recurso de intimidación. Tu equilibrio mental es un activo de seguridad: si no ves señales técnicas concretas, no cambies tu comportamiento salvo para reforzar contraseñas, 2FA y limpieza del buzón.

Indicadores que sí ameritan una respuesta más profunda

• Enviados con correos que no escribiste o reenvíos desconocidos a otra dirección.
• Alertas del antivirus/EDR con detecciones que reaparecen tras limpiar.
• Accesos desde países o dispositivos que no son tuyos.
• Cambios no autorizados de contraseña o recuperación de cuenta.
• Movimientos anómalos en cuentas financieras o compras extrañas en tiendas en línea.

Con uno o más de estos indicios, escala el caso: cambia contraseñas de inmediato, corta sesiones, ejecuta escaneo sin conexión y considera apoyo profesional.

Preguntas frecuentes

¿Debo eliminar el correo aunque diga que tiene mis datos?
Sí. Márcalo como phishing y bórralo. El mensaje se apoya en miedo y no aporta pruebas verificables.

¿Y si de verdad fui hackeado hace meses?
Elimina el correo igualmente. En paralelo, aplica el checklist de refuerzo: contraseñas nuevas, 2FA, cierre de sesiones, revisión de reglas y escaneo sin conexión. Esas medidas te protegen a futuro sin importar ese email.

¿Pueden enviarse correos a mi nombre sin entrar a mi cuenta?
Sí, mediante spoofing. Autenticar tu dominio con SPF/DKIM/DMARC lo dificulta, aunque no lo elimina por completo.

¿Por qué aparece en la bandeja de spam?
Porque muchos filtros ya identifican patrones de sextorsión y reputación dudosa del remitente.

¿Cómo sé si hubo exfiltración real?
Busca evidencias concretas: alertas del EDR/antivirus, registros de acceso y actividad inusual en tus servicios. La mera amenaza en un correo no es evidencia.

Resumen práctico

• Estás ante una estafa de sextorsión con remitente falsificado.
• No pagues, no respondas, no abras enlaces o adjuntos.
• Márcalo como phishing y bórralo.
• Verifica Enviados y actividad de inicio de sesión para tu tranquilidad.
• Si tuviste un incidente previo, aplica el checklist de refuerzo: contraseñas nuevas, 2FA, cierre de sesiones, escaneo sin conexión y actualización de sistemas.
• Si administras un dominio, ajusta SPF/DKIM/DMARC para reducir el spoofing.

Plantilla de comunicación breve para avisar a tu equipo

Comparte este texto por tu canal interno para contener la campaña:

“Estamos recibiendo correos de sextorsión que alegan haber instalado ‘Cobalt Strike Beacon’ y piden pago en criptomonedas. Es una estafa con suplantación del remitente. No respondas, no abras enlaces/adjuntos, márcalo como phishing y elimínalo. Si ves actividad rara en tu cuenta, avisa a TI.”

Checklist imprimible

Tarea	Objetivo	Estado
Eliminar el correo y reportarlo como phishing	Cortar la campaña y alimentar filtros	☐
Verificar “Enviados” y reglas de buzón	Confirmar que no hubo envío real desde tu cuenta	☐
Cambiar contraseñas críticas y activar 2FA	Neutralizar credenciales filtradas	☐
Cerrar sesiones y revocar accesos OAuth	Expulsar intrusos silenciosos	☐
Escaneo antivirus y escaneo sin conexión	Detectar y erradicar malware oculto	☐
Actualizar sistema y eliminar software sospechoso	Reducir superficie de ataque	☐
Revisar filtraciones de credenciales	Decidir resets adicionales	☐
Ajustar SPF/DKIM/DMARC si usas dominio propio	Reducir suplantación a tu nombre	☐

Conclusión

La combinación de amenazas genéricas, ultimátum de 48 horas y jerga como “Cobalt Strike Beacon” es un clásico del fraude por sextorsión. Si además han pasado más de dos días sin consecuencias, tienes otra señal de que todo es mentira. El camino correcto es reportar, eliminar y reforzar tu seguridad con el checklist propuesto. Estas acciones te protegen hoy y te dejan mejor preparado para mañana.