Redacción. Los días previos y posteriores al cierre de mes, cuando empleados y departamentos de recursos humanos intensifican el intercambio de comunicaciones salariales, se han convertido en una ventana de oportunidad para campañas de phishing dirigidas al robo de credenciales e información financiera.
Así lo advierte ESET, proveedor europeo de soluciones y servicios de ciberseguridad, que ha analizado una campaña reciente que utiliza la nómina como pretexto para el fraude.
"El final y el principio de mes son momentos especialmente sensibles, porque muchas personas esperan recibir comunicaciones legítimas relacionadas con su salario", explica Josep Albors, director de investigación y concienciación de ESET España. "Los ciberdelincuentes lo saben y utilizan la nómina como un reclamo muy eficaz para que el usuario actúe rápido y baje la guardia. Este fraude es especialmente representativo de cómo operan las campañas de phishing, ya que aprovecha una rutina real dentro de las empresas, imita una comunicación interna aparentemente normal y juega con una cuestión tan sensible como el cobro del salario".
En la campaña detectada, los usuarios recibían un correo en el que se anunciaba un supuesto recibo de sueldo disponible para descarga. El mensaje no mencionaba ninguna empresa concreta y se identificaba genéricamente como procedente del departamento de recursos humanos, una estrategia habitual que permite reutilizar el mismo envío contra empleados de distintas organizaciones.
Al seguir el enlace, la víctima llegaba a una página que simulaba estar vinculada a Acrobat Reader y que, en lugar de un documento legítimo, descargaba un archivo comprimido con un acceso directo malicioso de Windows. Su ejecución iniciaba una cadena de infección que aprovechaba herramientas del propio sistema, como cmd.exe o mshta.exe, para dificultar la detección.
La infraestructura y las técnicas identificadas apuntan a una operación orientada al robo de información financiera —credenciales de banca en línea o datos de tarjetas— con similitudes a campañas asociadas a troyanos bancarios como Casbaneiro o Grandoreiro. Más allá del malware, este tipo de fraude también puede presentarse como páginas falsas de acceso a portales del empleado, solicitudes de actualización de datos bancarios o mensajes que piden confirmar información personal para evitar retrasos en el cobro.
ESET señala varias señales de alerta: remitentes genéricos sin identificación clara de la empresa; enlaces externos para descargar la nómina, especialmente si apuntan a dominios desconocidos o acortados; mensajes que transmiten urgencia o presión para actuar; archivos en formatos como .zip, .rar, .lnk, .js o ejecutables; y textos con errores de redacción o sin contexto corporativo.
Para los equipos de RRHH, la compañía recomienda informar a la plantilla sobre los canales oficiales de distribución de nóminas, reforzar la formación en ciberseguridad, activar la autenticación multifactor y establecer procedimientos claros para reportar correos sospechosos.
