La estafa de sextorsión: por qué parece que el correo viene de tu propia cuenta (y por qué no significa que te hackearon)

En los últimos años ha circulado una de las estafas más efectivas y psicológicamente agresivas en Internet: la sextorsión por correo electrónico. Si alguna vez recibiste un mensaje diciendo que te grabaron con tu cámara web mientras visitabas sitios para adultos, que conocen tus contraseñas o que enviarán videos a tus contactos si no pagas… no estás solo.

Miles de usuarios han recibido correos casi idénticos. Y lo más impactante es que muchos de estos mensajes parecen llegar desde tu propio correo electrónico, lo que genera pánico y hace que algunas víctimas realmente crean que su cuenta fue hackeada.

Pero la verdad es otra.

Este artículo te explica cómo funciona la estafa, por qué es tan convincente, qué debes hacer y cómo protegerte para que nunca te afecte.

Cómo funciona la estafa de sextorsión, u otras similares

La mecánica es siempre similar:

1. El estafador envía un correo afirmando que tu computadora fue hackeada.
2. Dice que activó tu cámara web y te grabó en situaciones íntimas.
3. Promete enviar el supuesto video a tus contactos si no pagas en Bitcoin.
4. Para presionar aún más, a veces incluyen una contraseña antigua real que obtuvieron de filtraciones públicas.
5. En muchos casos, el correo parece venir desde tu misma dirección de correo.

Esto genera la sensación de que “entraron a mi cuenta”, pero en la mayoría de los casos es completamente falso.

¿Y cómo hacen para que el correo parezca enviado desde tu cuenta?

Este es el truco psicológico clave. La mayoría de estos correos utilizan una técnica llamada spoofing, que consiste en falsificar el campo “De:” de un mensaje para que parezca que proviene del propio destinatario.

• No significa que tu cuenta fue hackeada.
• No significa que tengan acceso a tu bandeja de entrada.
• No significa que puedan enviar correos desde tu cuenta real.

El spoofing es posible cuando un dominio no tiene correctamente configurados:

• SPF
• DKIM
• DMARC

Estos tres mecanismos verifican si un correo realmente proviene del servidor autorizado. Sin ellos, cualquiera puede “fingir” ser tu dirección, igual que alguien podría escribir tu nombre en un sobre físico sin ser tú.

“Pero pusieron una contraseña mía en el correo…”

Este es el otro golpe psicológico.

La contraseña que aparece suele venir de filtraciones antiguas de bases de datos de empresas (LinkedIn, Dropbox, Yahoo, Adobe, etc.). No la obtuvieron de tu dispositivo, ni de tu correo, ni te hackearon.

Para verificarlo ingresa aquí: https://haveibeenpwned.com/ (evaluación segura, recomendada a nivel mundial)

Si tu correo aparece en la lista, significa que una plataforma externa fue vulnerada, no tu computadora ni tu correo empresarial.

Qué NO debes hacer jamás

• No respondas.
• No pagues.
• No abras archivos adjuntos.
• No les des información personal.
• No intentes “negociar”.

El 100% de estos correos son automatizados. Nadie está detrás revisando tu caso.