El currículum que no era un currículum

Un correo corto. Alguien que busca trabajo se presenta en un par de líneas y te invita a ver su currículum en un enlace. No trae adjunto. Llega al buzón de administración, al de ventas o a una cuenta personal, entre una factura y un pedido.

La semana pasada, ESET publicó el análisis de una campaña que funciona exactamente así y que se ha intensificado en España en los últimos días. Detrás del enlace no hay ningún currículum. Hay un archivo que, si se abre, instala un programa que no ves y que se lleva las contraseñas que tengas guardadas en el ordenador.

La técnica está bien hecha, pero no es lo que me ha hecho escribir esto. Es a quién va dirigida.

El currículum, las llaves y lo que se esconde detrás. Ilustración generada con IA para este artículo; no reproduce ningún correo, web ni archivo reales de la campaña.

Abrir lo que manda un desconocido es su trabajo

El consejo de siempre es «no abras nada de desconocidos». Con un currículum no sirve.

Quien lleva la selección en una empresa, o el administrativo al que le llegan las candidaturas espontáneas porque su dirección es la que sale en la web, cobra por abrir lo que le manda un desconocido. Un candidato es, por definición, alguien a quien no conoces. Si no abre su currículum, no está haciendo su trabajo.

Y el correo no pide nada raro. No hay urgencia, ni factura pendiente, ni paquete retenido. Es la petición más corriente del mundo: «te mando esto, échale un vistazo».

Ya lo conté a cuenta de la videollamada del director financiero que no lo era: lo que funciona no es pedir más atención, sino procedimientos que no dependan de que alguien esté espabilado ese día. Aquí ni siquiera hay nada que lo despierte.

Así que la pregunta útil no es cómo conseguir que la gente deje de abrir currículums. Es qué forma tiene uno de verdad, para que lo que no la tiene se note, y qué hay que dejar preparado para que, si alguien se equivoca un martes cualquiera, el error salga barato.

Lo que pasa después del clic

El análisis lo firma Josep Albors en el blog de Ontinet, la distribuidora de ESET en España, con todo el detalle técnico. Resumido, la cadena es esta:

1. El enlace lleva a una web montada en un servidor alquilado, un VPS. Dura pocas horas antes de que alguien la denuncie y la tumben. Les basta: en esas horas consiguen las víctimas que necesitan para que la campaña salga a cuenta.
2. La web enseña unas «comprobaciones de seguridad» antes de la descarga, para dar confianza. En algunas variantes comprueba además que quien entra usa un Windows de verdad, y si detecta otro sistema, una máquina virtual o un entorno de análisis, no descarga nada.
3. Se descarga un archivo .vbs, un script de VBScript con partes ofuscadas. Descargarlo no basta: la cadena que describe el análisis arranca cuando alguien lo abre. Es la primera fase.
4. Ese script, por PowerShell, descarga a escondidas un Python portátil, lo prepara y baja con él el siguiente componente.
5. La carga final es un programa espía de alguna de las familias brasileñas de siempre: Grandoreiro, Casbaneiro, Mispadu o parecidas.
6. Y lanza msiexec.exe para una desinstalación silenciosa, probablemente para dificultar el análisis forense del equipo.

De todo eso me quedo con tres detalles.

Las comprobaciones de seguridad son parte del ataque. La pantalla que te dice que se está verificando algo es la que te hace bajar la guardia. Suena a seguridad y no dice nada de quién está al otro lado.

La web se esconde de quien la investiga. Si entra un analista desde una máquina virtual, no ve nada. Si entra la persona de administración desde su portátil, sí. Está diseñada para que la vea justo quien no sabe mirarla.

Se apoya en herramientas legítimas. VBScript, PowerShell, Python y msiexec son herramientas legítimas, y cada una, por separado, es algo que un ordenador de oficina puede tener por motivos normales. Lo raro no es ninguna pieza. Es el orden.

Y un apunte de oficio, para quien programe: según el análisis, estos grupos, brasileños en su mayoría, han pasado de escribir en Delphi a lenguajes más modernos. Ni los malos se libran de migrar el legacy.

Lo que se llevan

Grandoreiro, Casbaneiro y Mispadu nacieron como troyanos bancarios: su negocio era el acceso a la banca online. Según ESET, hoy son capaces de robar casi cualquier credencial que el usuario tenga guardada en el equipo: en el navegador, en el cliente de correo o en otras aplicaciones.

Piensa en qué hay guardado en el navegador del ordenador de administración de una pyme cualquiera:

• El banco, probablemente.
• El correo de la empresa, con todo lo que se recupera desde él.
• La herramienta de facturación y el portal del proveedor.
• El panel del hosting, porque un día hubo que entrar a cambiar algo.
• Y todo lo que alguien guardó cuando el navegador preguntó «¿Quieres guardar la contraseña?» y le pareció cómodo decir que sí.

No te roban el ordenador. Te roban las llaves de todo lo que se abre desde él.

Un currículum tiene forma

La primera defensa no es técnica, y es la que mejor encaja con el trabajo de quien recibe currículums: saber cómo es uno normal.

• Un currículum nunca se descarga de una web que «comprueba tu seguridad». Ningún candidato monta una web con verificaciones para enseñarte dónde ha trabajado.
• Un currículum nunca es un .vbs, un .js, un .hta, un .bat ni un .exe. Si lo que baja termina en eso, no es un documento: es un programa.

Hay candidaturas legítimas con enlace, claro: un portfolio, una carpeta compartida, un perfil. Por eso lo que ayuda no es adivinar quién es quién, sino que la empresa decida un formato propio: que las candidaturas se reciban en PDF adjunto o por el portal de empleo que usáis. Si una interesa y viene con enlace, se contesta pidiéndola así, y no tiene nada de borde.

El formato no distingue al candidato del atacante, y un PDF tampoco es inofensivo por arte de magia. Lo que hace es que lo que se sale del procedimiento desentone. Y en una empresa pequeña cabe en tres líneas, pegadas donde las lea quien gestiona el buzón de empleo.

VBScript: un lenguaje de 1996 que sigue encendido

Esto es lo que más me ha llamado la atención, porque se puede arreglar hoy mismo.

VBScript es un lenguaje de scripts que Microsoft lanzó en 1996. En octubre de 2023 anunció que lo iba a retirar de Windows, y el calendario está en su blog para profesionales de IT, con una actualización posterior en el de desarrolladores de Microsoft 365:

Traducido: hoy, si VBScript sigue instalado y activado, que es como viene, un doble clic en un .vbs lo ejecuta. El cambio que lo apagará por defecto no tiene día ni mes.

Y en la mayoría de las pymes no lo usa nadie. Así que no hay que esperar a Microsoft: en Configuración → Sistema → Características opcionales aparece VBSCRIPT entre las instaladas, y desde ahí se quita.

Un matiz antes de hacerlo en todos los equipos, que también está en la nota de Microsoft: hay macros de Excel o de Access que tiran de VBScript, por ejemplo para usar sus expresiones regulares, y algunos instaladores lo usan durante la instalación. Si en la empresa hay una hoja con macros que hizo alguien hace años y nadie se atreve a tocar, pregunta antes. Y si algo deja de funcionar, se vuelve a añadir desde la misma pantalla.

Es la lista de «software y versiones» de el inventario de principios de octubre, en su versión más pura: algo que está instalado, encendido y que nadie sabe que tiene. Nadie lo pidió, nadie lo usa, y es lo que ejecuta la primera fase.

Tampoco es la primera vez. Mañana empieza aquí una serie sobre la historia del virus informático, y el día 25 le toca a ILOVEYOU: mayo de 2000, un adjunto llamado LOVE-LETTER-FOR-YOU.TXT.vbs. El mismo lenguaje, ejecutándose con el mismo doble clic, veintiséis años antes.

Que se vea el .vbs

ILOVEYOU funcionó en parte porque Windows ocultaba las extensiones de los tipos de archivo conocidos, y quien lo recibía veía LOVE-LETTER-FOR-YOU.TXT. Un texto. Esa opción sigue viniendo activada de fábrica.

Con las extensiones a la vista, un curriculum.pdf y un curriculum.vbs dejan de parecerse. Es un cambio de un minuto por equipo:

• Windows 11: en el Explorador de archivos, Ver → Mostrar → Extensiones de nombre de archivo.
• Windows 10: en el Explorador, pestaña Vista, grupo Mostrar u ocultar, casilla Extensiones de nombre de archivo.

No para un ataque por sí solo. Le da a quien está delante una pista que hoy no tiene.

Si alguien llega a ejecutarlo

El primer objetivo de este programa son las credenciales guardadas en el equipo. Así que buena parte de lo que se pierde se decide antes del doble clic.

• Segundo factor en todo lo que lo permita, empezando por el correo y el banco. Una contraseña robada sin el segundo factor deja de bastar por sí sola para entrar. No lo arregla todo, pero es lo que más cambia el resultado. Sobre qué segundos factores protegen de verdad y cuáles hacen bulto escribí largo en el post de las contraseñas fáciles.
• Las contraseñas del banco y de la empresa, fuera del navegador. El «¿quieres guardarla?» es cómodo, y es justo el primer sitio que estas familias saben leer. Ojo: según el análisis también leen otras aplicaciones, así que sacarlas del navegador reduce el botín, pero no sustituye al punto anterior.

Si alguien entró en la web y descargó el archivo pero no lo abrió, se borra y se avisa igualmente a quien lleve la informática. Si lo abrió:

• Aísla ese equipo de la red, cable y wifi, sin apagarlo, y avisa a quien lleve la informática. Es la regla que conté en el post del día después: aislar y documentar antes que reparar.
• Cambia las contraseñas desde otro ordenador, empezando por el correo y el banco, y cierra las sesiones abiertas donde el servicio lo permita: cambiar la contraseña no siempre echa a quien ya ha entrado. En aquel post decía que no se cambian contraseñas a lo loco antes de saber qué ha pasado. Aquí sí se sabe una parte: lo que buscan estas familias son las contraseñas guardadas, así que esas hay que darlas por perdidas. En ese equipo no se teclea ni una más.
• Llama al banco, por el teléfono de siempre y no por uno que te llegue en un mensaje.
• Ese equipo, yo lo reinstalaría. Ha ejecutado un script que descargó e instaló varios componentes más, y no me fiaría de que se hayan ido todos.
• Si no sabes por dónde empezar, INCIBE atiende gratis en el 017.

El currículum de verdad

A quien recibe currículums no se le puede pedir desconfianza: su trabajo es abrirlos. Se le puede pedir que sepa cómo es uno normal.

Y a la empresa se le puede pedir el resto. Que, el día que esa persona se equivoque, un .vbs no tenga con qué ejecutarse, que la extensión se vea antes y que la contraseña que se lleven no abra nada por sí sola. Las tres cosas se hacen en una mañana, y dos de ellas no dependen de que nadie esté atento.

(Y si alguien de selección me pregunta qué candidato no pasaría nunca mi primer filtro, lo tengo claro: el que antes de enseñarme su currículum me hace pasar por una web que comprueba mi seguridad. Que ya es más de lo que hacen muchas empresas con la suya.)

La descripción de la campaña y de la cadena de infección sale del análisis de Josep Albors publicado en el blog de Ontinet (ESET España) el 27 de octubre; no hay cifras de víctimas publicadas. El calendario de retirada de VBScript es el de las notas de Microsoft de mayo de 2024 y septiembre de 2025. Fuentes leídas el 30 de octubre de 2026.