¿Le llegó un correo electrónico con un archivo .svg? Podría ser una peligrosa estafa digital, así se protege

En Colombia, el panorama de la ciberseguridad se torna cada vez más complejo, con un alarmante aumento en las estafas y robos digitales que ponen en riesgo la información personal y las finanzas de miles de ciudadanos. El uso de archivos SVG ha venido al alza en nuestro país, una técnica que han evolucionado los ladrones para robar información de los usuarios.

Las autoridades y expertos en seguridad informática han encendido las alarmas ante la sofisticación de las nuevas técnicas empleadas por los ciberdelincuentes en Colombia, quienes buscan constantemente innovar en sus métodos para sustraer datos sensibles y acceder a cuentas bancarias.

Una de las tendencias más recientes y preocupantes detectadas por empresas de ciberseguridad como Kaspersky, es la distribución de correos electrónicos de phishing que incorporan archivos adjuntos en formato SVG (Scalable Vector Graphics).

Este tipo de archivo, comúnmente utilizado para almacenar imágenes, ha sido explotado por los atacantes debido a una particularidad: a diferencia de formatos estáticos como JPEG o PNG, los SVG pueden contener código interactivo, como botones o enlaces.

Esta funcionalidad, que los hace útiles para diseñadores, es precisamente lo que los ciberdelincuentes aprovechan para insertar contenido malicioso.

La magnitud de esta amenaza se ha evidenciado en un incremento sustancial de su incidencia. Según datos de Kaspersky, en marzo de 2025 se registró un aumento de casi seis veces en los ataques de phishing mediante archivos SVG en comparación con febrero del mismo año

A nivel global, se han detectado más de 4.000 de estos correos electrónicos desde el inicio del año, con archivos SVG, con una notable presencia en América Latina. Estas cifras son un claro indicador de la escalada de los ciberataques y la necesidad urgente de fortalecer las defensas digitales de individuos y organizaciones.

En Colombia, el Centro Cibernético de la Policía Nacional ha reportado un aumento en las denuncias por delitos informáticos, subrayando la urgencia de educar a la población sobre estas nuevas modalidades de fraude.

La mecánica de esta estafa es particular. El archivo SVG adjunto, a pesar de su apariencia inocua como imagen, es en esencia una página HTML sin descripción gráfica. Cuando el usuario lo abre en un navegador, el archivo se muestra como una página web con un enlace que, supuestamente, dirige a un archivo de audio. Al hacer clic en este enlace, la víctima es redirigida a una página de phishing meticulosamente diseñada para imitar servicios legítimos de Google o Microsoft, como una grabación de voz de Google Voice. Sin embargo, la supuesta pista de audio es en realidad una imagen estática, cuyo único propósito es engañar al usuario para que siga interactuando.

El siguiente paso en la estratagema es aún más perverso. Al hacer clic en el botón ‘Reproducir audio’ o en cualquier otro elemento interactivo de la página falsa, el usuario es conducido a una página de inicio de sesión de correo corporativo igualmente fraudulenta. Esta página, que a menudo incorpora logotipos de la empresa objetivo y referencias a servicios como Google Voice para generar confianza, tiene como objetivo principal capturar las credenciales de acceso de la víctima.

De esta manera, los atacantes logran obtener nombres de usuario y contraseñas, abriendo la puerta a un sinfín de posibles fraudes, desde el acceso a cuentas bancarias hasta el robo de identidad.

Leandro Cuozzo, analista de Seguridad en el Equipo Global de Investigación y Análisis para América Latina en Kaspersky, advierte sobre la constante evolución de estas amenazas: “Los atacantes de phishing exploran constantemente nuevas técnicas para evadir la detección. Varían sus tácticas, a veces utilizando redirecciones para confundir al usuario, y otras experimentando con diferentes formatos de archivo adjunto. Los ataques con archivos SVG están mostrando una tendencia clara al alza”. Cuozzo también señala el potencial de estas técnicas para ataques más complejos: “Aunque por ahora estas amenazas son relativamente simples, con archivos SVG que contienen una página de enlace o un script de redirección a un sitio fraudulento, el uso de SVG como contenedor de contenido malicioso también puede emplearse en ataques dirigidos mucho más sofisticados”.

Ante este panorama, la protección requiere de una vigilancia constante y la adopción de buenas prácticas de seguridad. Los expertos de Kaspersky ofrecen recomendaciones para evitar ser víctima de phishing o mensajes maliciosos. Es crucial abrir correos electrónicos y hacer clic en enlaces únicamente cuando se tenga la certeza absoluta de la confianza en el remitente. Si el remitente es legítimo, pero el contenido del mensaje despierta sospechas, se debe confirmar la veracidad de la información a través de un canal distinto como teléfono o chat.

Finalmente, la verificación minuciosa de la URL de un sitio web es un paso indispensable si se sospecha que se trata de una página de phishing. Los ciberdelincuentes a menudo recurren a errores difíciles de detectar a simple vista en la dirección, como el uso de caracteres similares ("1" en lugar de "I" o "0" en lugar de "O"). La prudencia y el sentido crítico son las mejores herramientas para navegar de forma segura.