Descripción: Un negocio desconocido confirma una consulta inexistente y adjunta una supuesta fortuna en criptomonedas. Descubre cómo se aprovechan de las respuestas automáticas y qué hacer.
Respuesta: alguien pudo escribir tu dirección en el formulario de otro negocio y usar su confirmación automática como vehículo para un engaño. Eso, por sí solo, no prueba que hayan entrado en tu correo.
Gracias por consultar. ¿Por consultar qué?
Un restaurante al que jamás escribiste promete contestar pronto. Genial, excepto que no has preguntado ni por el menú. El nombre del remitente es una sopa de letras, mientras el texto promete un enorme saldo de USDT y apunta a un enlace sospechoso.
El patrón encaja con el abuso de formularios, pero no permite identificar al responsable, confirmar el uso de bots ni descubrir de dónde salió tu dirección. Tampoco demuestra que el restaurante colaborara.
Un repartidor involuntario en cuatro pasos
- Un tercero abre un formulario de contacto público.
- Escribe el correo de otra persona e introduce el gancho fraudulento en el nombre o mensaje.
- La web envía una respuesta automática que reproduce esos datos.
- La víctima recibe un mensaje asociado al negocio legítimo, con la estafa dentro.
Negocio: «Gracias por contactarnos». Destinatario: «¡Yo no he llamado!». Estafador: «Entrega completada». Nadie conversa, pero el paquete llega.
Una agencia pública japonesa, IPA, documentó en 2020 otro caso con más de 100.000 mensajes maliciosos enviados mediante respuestas automáticas. Esa cifra no corresponde a este episodio.
¿Han pirateado mi cuenta?
No se deduce de esta confirmación. Muchos formularios aceptan cualquier dirección sin comprobar quién es su propietario. La dirección podría proceder de datos públicos, viejas filtraciones u otras listas; su origen es desconocido.
Si además observas accesos extraños, mensajes desconocidos en Enviados o cambios de configuración, entonces sí conviene revisar la seguridad de la cuenta.
Cómo actuar y evitarlo
No abras el enlace ni intentes reclamar el saldo. Márcalo como spam o phishing y elimínalo. Para comprobar un servicio real, entra por una web o aplicación oficial que ya conozcas. Si se repite, conserva el asunto y la fecha.
Quienes gestionan webs deberían evitar incluir automáticamente textos libres, nombres y enlaces de visitantes en correos enviados a direcciones elegidas por ellos. También conviene frenar bots y limitar envíos. Contact Form 7 advierte de este peligro en general; eso no significa que el negocio afectado utilizara esa herramienta.
La cuenta, sin haber pedido cena
El destinatario pierde tiempo, el negocio puede perder reputación y el atacante consigue mensajería gratis. Nadie pidió comida y llegó una ración de phishing a domicilio. Devuélvanla a cocina.
Fuentes: IPA, informe de incidentes de 2020, sección 5 · Aviso de Contact Form 7 · Guía de la FTC
