El archivo inocente: cómo un PDF de factura infectó a 34 ordenadores en una PYME española

Tecnova Soluciones tenía 35 empleados, una facturación de 1,8 millones de euros al año y una oficina en el polígono industrial de Paterna, Valencia. Era el tipo de empresa que define el tejido productivo español: trabajadores cualificados, clientes fidelizados, márgenes ajustados y una dependencia total de la tecnología para operar.

Su infraestructura tecnológica era, en apariencia, razonable para una empresa de su tamaño. Tenían un servidor Windows con los archivos compartidos, 37 ordenadores con Windows 10, un router de fibra con firewall básico, un antivirus de pago instalado en todos los equipos y copias de seguridad en un disco duro externo que el responsable de IT, David, conectaba cada viernes.

Lo que Tecnova no tenía —y esto es lo habitual en el 73% de las pymes españolas según el último informe del INCIBE— era una estrategia de ciberseguridad estructurada. No había segmentación de red. No había monitorización de tráfico. No había política de actualizaciones automáticas. No había formación del equipo sobre amenazas digitales. Y, lo más crítico, no había nadie que entendiera que un PDF podía ser una bomba.

«El malware no necesita encontrar una empresa sin seguridad. Solo necesita encontrar una empresa con la seguridad equivocada. Un antivirus tradicional no detecta un troyano que usa una vulnerabilidad zero-day. Un firewall de router no ve el tráfico cifrado que sale a un servidor de comando y control. Y un backup en disco externo no sirve si el malware ya ha estado 47 días corrompiendo archivos.»

Elena Martínez era la responsable de administración de Tecnova. Llevaba 8 años en la empresa. Cada mañana revisaba el email corporativo, respondía a proveedores y gestionaba las facturas entrantes. Era meticulosa, organizada y —como la mayoría de las personas que reciben cientos de emails a la semana— abría los archivos adjuntos sin pensarlo dos veces cuando venían de remitentes conocidos.

El martes 3 de marzo a las 9:12, Elena recibió un email con el asunto "Factura marzo 2025 - Proveedores Industriales del Levante". El remitente era facturacion@provindlevante.com, un dominio que en una inspección rápida parecía legítimo. El cuerpo del email era breve y profesional: "Adjuntamos factura correspondiente al mes de marzo. Rogamos confirmación de recepción. Un saludo." El archivo se llamaba "Factura_Marzo_2025_ProvInd.pdf".

Elena lo abrió. El PDF mostraba una factura realista con el logo de Proveedores Industriales del Levante, un listado de materiales, importes y datos bancarios. Todo parecía correcto. Lo que Elena no vio —porque no había nada que ver— fue el exploit embebido en el archivo.

El malware que infectó a Tecnova no era un ransomware que cifra archivos y pide rescate. Era algo mucho más peligroso: un troyano de acceso remoto (RAT) diseñado para permanecer oculto el mayor tiempo posible mientras extrae valor. Los atacantes no querían paralizar la empresa. Querían robarla lentamente.

Durante 47 días, el malware operó como un fantasma. No modificó archivos visibles. No mostró ventanas. No ralentizó los ordenadores de forma perceptible. Su objetivo era pasar desapercibido, y lo consiguió con una precisión que solo se entiende cuando se analiza el informe forense posterior.

Lo más inquietante del informe forense es la lista de actividades que el malware realizó sin que nadie notara nada: capturó 847 pantallas de sesiones bancarias, registró 23.000 pulsaciones de teclado, accedió a 156 carpetas compartidas, modificó 3 archivos de configuración del servidor y envió 1.847 mensajes de control a servidores en Rumanía, Ucrania y Panamá.

Y durante todo ese tiempo, los empleados de Tecnova trabajaron normalmente. Enviaron emails. Facturaron a clientes. Accedieron a la banca online. Ninguno de los 34 ordenadores infectados mostró síntomas visibles. El malware estaba diseñado para ser invisible, y lo consiguió.

El viernes 17 de abril de 2025, a las 16:42, el teléfono de la oficina sonó. Era el departamento de seguridad del banco. Habían detectado una transferencia de 23.000 euros desde la cuenta corriente de Tecnova a una cuenta en Lituania. La transferencia había sido autorizada con las credenciales correctas, pero el patrón era inusual: se había realizado desde una IP geolocalizada en Rumanía a las 3:17 de la madrugada, hora española.

David, el responsable de IT, recibió la llamada. En ese momento, por primera vez en 47 días, alguien en Tecnova empezó a sospechar que algo no iba bien. Pero la magnitud del problema no se hizo evidente hasta las 48 horas siguientes.

El lunes 20 de abril, cuando los forenses presentaron su informe preliminar, la directora de Tecnova, Carmen Vidal, tuvo que sentarse. El documento tenía 47 páginas. Cada página era peor que la anterior. El malware había estado activo durante casi siete semanas. Había robado datos de 340 clientes. Había comprometido tres cuentas bancarias. Y el antivirus, en el que la empresa había confiado durante años, no había detectado absolutamente nada.

"¿Cómo es posible?" fue la única pregunta que Carmen pudo formular. La respuesta del forense fue directa: "Porque tenían un antivirus del siglo pasado defendiendo contra amenazas del siglo actual."

Tecnova era una PYME con 35 empleados y una facturación de 1,8 millones de euros. No era una multinacional con departamentos de seguridad y presupuestos ilimitados. Era una empresa normal, con problemas normales, que un día descubrió que había estado siendo robada durante casi dos meses sin saberlo.

El caso de Tecnova no es una anomalía. Es la norma. Según los últimos datos del INCIBE, el malware es el tipo de incidente más recurrente gestionado por el instituto, siendo el más habitual de los 55.411 ciberataques gestionados anualmente. Esto significa que, de todos los tipos de ciberataques que afectan a empresas y ciudadanos en España, el malware encabeza la lista con diferencia.

La razón es simple: el malware es versátil, rentable y escalable. Un mismo troyano puede infectar a cientos de empresas simultáneamente. No requiere interacción humana sofisticada como la ingeniería social. No necesita vulnerabilidades de día cero como algunos ataques avanzados. Solo necesita que alguien abra un archivo, visite una web comprometida o conecte una USB infectada.

Ninguna de las medidas que habrían evitado o mitigado este ataque requería tecnología prohibitiva. La mayoría son decisiones de política, procedimiento y cultura que se pueden implementar en semanas, no en años. El problema de Tecnova no era la falta de recursos: era la falta de conciencia de que este tipo de amenaza existía y de que les podía pasar a ellos.

El caso de Tecnova involucró un troyano bancario, pero el malware tiene muchas formas. Conocerlas es el primer paso para reconocer los riesgos y elegir las defensas adecuadas.

Preguntas frecuentes sobre malware en empresas