¿Qué es la sextorsión?
La sextorsión es la extorsión que usa contenido íntimo como moneda de chantaje, sea real o solamente supuesto. En la versión que llega a las bandejas de entrada corporativas todos los días, el remitente afirma haber grabado a la víctima por la webcam de la computadora y muestra una contraseña verdadera como prueba de acceso. La contraseña suele ser auténtica y viene de una filtración antigua. La grabación no existe. Es una estafa masiva, enviada a miles de direcciones de una lista comprada, y no un ataque dirigido a usted. Pero lo que revela sobre su empresa sí es cierto.
Cómo se arma el correo de sextorsión
No hay intrusión, no hay webcam encendida y no hay nadie observando a su empresa. Lo que hay es una línea de montaje barata, que cambia precisión por escala y apuesta a que, en cada mil destinatarios, alguien va a creerlo lo suficiente como para pagar en silencio.
Materia prima comprada ya lista
El delincuente parte de una lista de direcciones de correo con las contraseñas correspondientes, vendida a partir de filtraciones de sitios antiguos. Cuando las víctimas del fraude verifican, la contraseña mostrada suele ser antigua: cerca de diez años en los casos documentados por Krebs, de un servicio que apenas recuerdan haber usado.
Credibilidad prestada de un dato real
La contraseña aparece en la primera línea, porque es lo que hace que el mensaje parezca verdadero. Las campañas más recientes agregan nombre completo, teléfono, domicilio e incluso una imagen de mapa de la calle donde vive la persona, todo obtenido de las mismas bases filtradas. Nada de eso prueba acceso a la computadora; solo prueba que el dato circula.
Entrega por una cuenta legítima ya vulnerada
Aquí es donde falla el filtro corporativo. Los mensajes que llegan a la bandeja de entrada salen de remitentes y direcciones de red con buena reputación, porque los delincuentes usan cuentas de correo corporativo o personal que vulneraron antes. El filtro ve un remitente confiable, no un origen sospechoso.
Plazo corto y una cifra sacada de la nada
El mensaje da un plazo corto, de veinticuatro horas en el ejemplo documentado, y exige pago en criptomoneda, casi siempre bitcoin, hoy mediante un código QR pegado en el cuerpo del correo. El monto no se calcula sobre los ingresos de nadie: en las campañas analizadas en 2018 se sorteaba, un dígito del uno al siete seguido de tres ceros; en las campañas recientes pasó a ser una cifra fija, igual para todos, del orden de los dos mil dólares. De un modo u otro, no guarda relación con quien lo recibe. Lo que la prisa busca producir es una decisión tomada a solas, sin consultar a nadie.
Fuentes: Cisco Talos, análisis de 233.236 mensajes de dos campañas (2018); Krebs on Security (2018); Barracuda, Threat Spotlight (2024); Sophos, rastreo de pagos (2020).
Cómo reconocerla
- El mensaje muestra una contraseña suya, pero es antigua y ya no la usa donde importa
- Nada más allá de la contraseña es específico: no hay nombre de archivo, ni fecha, ni hora, ni detalle verificable
- El plazo es corto y contado en horas, veinticuatro en los ejemplos documentados
- El pago se exige en criptomoneda, por dirección de billetera bitcoin o código QR
- El texto le prohíbe expresamente contárselo a alguien o buscar ayuda
- A veces el remitente afirma haber enviado el mensaje desde su propia cuenta, lo que suele ser apenas el campo de remitente falsificado, es decir, spoofing
- El mismo mensaje, con pequeñas variaciones, llega a varios colegas en la misma semana
Las formas que asume la sextorsión
- Extorsión masiva por correo El bluff descrito arriba, sin material alguno detrás. Es la forma que llega a las bandejas corporativas en volumen, y lo que este artículo detalla. A diferencia del phishing, no hay enlace ni adjunto para hacer clic; a diferencia del BEC, nadie se hace pasar por un ejecutivo pidiendo una transferencia. La única palanca es la incomodidad.
- Extorsión con material real Precedida de ingeniería social, con días o semanas de acercamiento, hasta que el delincuente obtiene imágenes de la propia víctima y pasa a amenazar con difundirlas. Aquí el contenido es real, y la respuesta cambia de naturaleza: preservar todo como prueba, no borrar nada y acudir a la policía.
- Sextorsión financiera de adolescentes Una modalidad organizada y transnacional, operada a escala por grupos criminales, dirigida a menores y con el dinero como objetivo. El FBI derivó más de 5.700 casos con menores al NCMEC, el centro estadounidense de niños desaparecidos y explotados, en 2025, y el centro registra unos 137 reportes por día.
- Extorsión con imagen generada por inteligencia artificial Desde 2023 el FBI registra el uso de imágenes fabricadas por deepfake a partir de contenido publicado por la propia víctima en sus redes sociales. La víctima nunca produjo material alguno, y aun así tiene algo que negar.
El incidente del que la empresa nunca se entera
En términos financieros directos, ese correo casi nunca le cuesta dinero a la empresa: quien paga, paga de su propio bolsillo, y la mayoría no paga. El daño real es otro, y es silencioso. Ese mensaje es la prueba de que una credencial vinculada a alguien de su empresa está circulando en bases filtradas, disponible para cualquiera que quiera probarla. Es información de seguridad de primera calidad, entregada gratis en la bandeja de entrada. Y es justamente la información que no llega al equipo de seguridad, porque el tema avergüenza y el mensaje ordena callar. El propio FBI observa que la vergüenza, el miedo y la confusión suelen impedir que la víctima pida ayuda o reporte el caso. El resultado es una empresa que se entera de la contraseña filtrada meses después, cuando alguien la usa para entrar de verdad.
Qué hacer cuando llega ese mensaje
El orden importa. Las tres primeras decisiones son del empleado y toman minutos; las tres siguientes son de la empresa y valen para siempre.
- No pague ni respondaResponder confirma que la dirección está activa y pasa a la persona a una lista mejor, que se revenderá. Pagar no cierra nada, porque no hay nada que cerrar. Guarde el mensaje, no lo borre.
- Cambie la contraseña mostrada en todos los lugares donde siga existiendoEsta es la única acción técnica realmente urgente. Si esa contraseña, o cualquier variación suya, todavía abre algo hoy, el problema no es el correo: es el acceso que otorga.
- Reenvíe el mensaje a quien cuida la seguridadEs el paso que la vergüenza suele tragarse, y el único que convierte una incomodidad personal en información útil para la empresa. Reenvíe el correo entero, con los encabezados, y diga qué contraseña apareció. No hace falta explicar nada más: el equipo necesita el dato, no la historia.
- Exija un segundo factor donde el acceso realmente pesaDonde el acceso pesa, exigir un segundo factor le quita a la contraseña el poder de abrir por sí sola. Esa credencial sigue circulando, pero deja de ser una llave y pasa a ser apenas un dato viejo: es lo que reduce la filtración antigua a un incidente sin consecuencia práctica.
- Monitoree las credenciales de la empresa que aparecen en filtracionesLa idea es descubrir la exposición por monitoreo y no por un mensaje de chantaje. Quien sigue las bases filtradas cambia la contraseña antes de que alguien intente usarla.
- Diga de antemano, y por escrito, que reportar no tendrá costo personalUna política de una línea, comunicada antes de que ocurra, es lo que separa a la empresa que recibe el aviso de la que queda a oscuras. Quien recibe el mensaje necesita saber, sin tener que preguntar, que avisarle al equipo de seguridad no expone a nadie y no genera incomodidad.
En una frase
La contraseña es verdadera; la grabación no existe. Quien entiende esa diferencia deja de pagar y pasa a hacer lo único útil, que es avisar. Una empresa que trata ese correo como una incomodidad pierde el aviso. Una empresa que lo trata como alerta de credencial se adelanta a quien compró esa lista.
Cómo lo trata Zamak
Para Zamak Technologies, ese mensaje es un indicador de credencial expuesta, no un caso de moderación de contenido. Se lee como una señal: qué contraseña apareció, dónde sigue siendo válida y cuántas direcciones del mismo dominio cayeron en la misma tanda. Desde ahí, el trabajo es reducir la superficie que sostiene la estafa: seguir las credenciales de la empresa que aparecen en bases filtradas, exigir un segundo factor donde el acceso realmente pesa, y endurecer la autenticación del dominio, que bloquea la variante en la que el estafador finge escribir desde la dirección de la propia víctima. La verificación gratuita de dominio muestra en segundos cómo está esa autenticación. El rastro detrás de la contraseña es siempre el mismo par, la filtración de datos que la expuso y la dark web donde pasó a negociarse. Esto forma parte de la Seguridad de Correo gestionada y de la Ciberseguridad gestionada del método Zamak, y empieza el día en que la empresa acuerda a dónde se reenvía ese correo.