«Tu suscripción no se ha podido renovar», «tu almacenamiento ha sido suspendido», «tus fotos y documentos se eliminarán hoy». Es uno de los correos fraudulentos más repetidos de este otoño. Un colaborador del despacho recibió uno el pasado 8 de noviembre y lo hemos analizado a fondo. Te contamos cómo está construido, por qué parece fiable y cómo distinguirlo en diez segundos.
El correo: así llega a tu bandeja
El mensaje tiene un diseño cuidado, con cabecera azul, el icono de una nube y tres recuadros de colores que escalan la alarma:
- Asunto: «ACTION REQUIRED: Data protection disabled».
- Remitente visible: «Billing Dept» (departamento de facturación).
- Aviso naranja: tu método de pago ha caducado; actualiza tus datos de facturación inmediatamente.
- Aviso rojo: tu almacenamiento en la nube ha sido desactivado temporalmente.
- Tabla de «detalles de la suscripción»: plan de 250 GB, estado «Suspendido» y una fecha de caducidad.
- «FINAL NOTICE»: fotos, vídeos, documentos y copias de seguridad pueden eliminarse definitivamente si no renuevas hoy.
- Un gran botón rojo: RENEW NOW (renovar ahora).
Lo que busca es sencillo: que pulses el botón con prisa y, en la página que se abre, introduzcas los datos de tu tarjeta para «renovar» un servicio que nunca has contratado con ellos.
El detalle que confunde: el enlace parece de Google
Quien revisa el enlace antes de pulsar, que es lo correcto, ve algo como esto:
storage.googleapis.com/agressivecloudstorage-ppuw/index
Ver «googleapis.com» tranquiliza a mucha gente, porque es un dominio real de Google. Y aquí está el truco: storage.googleapis.com es un servicio de alojamiento de archivos que cualquiera puede alquilar, igual que cualquiera puede abrir una cuenta de Gmail. El estafador ha creado su propio espacio dentro de ese servicio (la parte «agressivecloudstorage-ppuw») y ha subido allí la página de pago falsa. El dominio es de Google, pero el contenido es del estafador. Google no tiene nada que ver con el mensaje.
Los delincuentes usan este tipo de alojamientos precisamente porque los filtros antispam y muchos antivirus confían en los dominios de las grandes tecnológicas y dejan pasar los enlaces.
Nuestro diagnóstico: cinco señales de que es falso
1. El remitente no tiene nada que ver con un servicio de almacenamiento
Detrás del nombre «Billing Dept» la dirección real era support@justice.gov.lb, un dominio del Ministerio de Justicia del Líbano. Ninguna empresa de almacenamiento te escribe desde ahí: la dirección está suplantada.
2. El correo no supera ningún control de autenticidad
Los servidores de correo comprueban si el mensaje lo ha enviado realmente quien dice enviarlo, mediante tres controles llamados SPF, DKIM y DMARC. Este correo no tenía firma DKIM, falló el control SPF y no tenía política DMARC. Dicho en llano: el servidor que lo envió no estaba autorizado a hacerlo en nombre de ese dominio. Además, el envío salió de una máquina alquilada en la nube de Google, no de un servidor de correo corporativo.
Si usas Gmail, puedes verlo tú mismo: abre el correo, pulsa los tres puntos y elige «Mostrar original». Los resultados SPF, DKIM y DMARC aparecen arriba. Un correo legítimo de facturación siempre los supera.
3. No dice de qué empresa eres cliente
Habla de «Cloud Storage» sin más: ni Google, ni Apple, ni Microsoft, ni Dropbox. Tampoco aparece tu nombre ni ningún número de cliente o de factura. Un aviso real de cobro siempre identifica la empresa, la cuenta y el importe.
4. Las fechas no cuadran
El correo llegó el 8 de noviembre de 2026, pero la «fecha de caducidad» de la suscripción era el 7 de junio de 2026, cinco meses antes. Ningún servicio espera cinco meses para avisarte de que te va a borrar los archivos «hoy».
5. Urgencia y amenaza
«Acción requerida», «aviso final», «eliminación permanente», «hoy». Es la presión clásica de la ingeniería social: que actúes antes de pensar. Las empresas serias avisan con antelación, por varios canales y sin amenazas de borrado inmediato.
Qué hacer si recibes este correo
- No pulses ningún enlace, tampoco el de «Unsubscribe» (darse de baja): apunta al mismo sitio del estafador y solo sirve para confirmarle que tu dirección está activa.
- Márcalo como spam o phishing y bórralo. Así ayudas a que tu proveedor de correo lo bloquee para otros usuarios.
- Si tienes una suscripción de almacenamiento real (Google One, iCloud, OneDrive, Dropbox…), compruébala entrando tú directamente en su web o en su aplicación, nunca desde un enlace recibido por correo.
Qué hacer si pulsaste e introdujiste datos
- Si diste los datos de tu tarjeta: llama a tu banco de inmediato para bloquearla y pide que revisen los últimos cargos. Cuanto antes lo hagas, más fácil es frenar o retroceder los pagos.
- Si diste una contraseña: cámbiala ahora en el servicio real y en cualquier otro donde uses la misma. Activa la verificación en dos pasos.
- Revisa tus movimientos bancarios durante las próximas semanas. Es habitual que los estafadores hagan primero un cargo pequeño de prueba.
- Conserva el correo (no lo borres de la papelera), capturas de la página que se abrió y los justificantes de cualquier cargo. Son la base de una denuncia y de la reclamación al banco.
- Denuncia ante la Policía o los Mossos d’Esquadra. La denuncia es necesaria para reclamar al banco los cargos no autorizados.
Por qué este tipo de estafa funciona
Casi todos tenemos alguna suscripción de almacenamiento, y la mayoría no recuerda con qué tarjeta la paga ni cuándo se renueva. El estafador no necesita saber cuál es la tuya: le basta con un mensaje genérico que encaje con la de cualquiera y una amenaza que toque algo valioso, como las fotos familiares o las copias de seguridad del trabajo. Si a eso se añade un enlace con apariencia de Google, el engaño está servido.
La regla que lo evita es siempre la misma: ante cualquier aviso de pago, de suspensión o de seguridad, no se actúa desde el correo, sino entrando por tu cuenta en el servicio.
Asesoramiento legal ante fraudes online
Si has sufrido cargos no autorizados, el banco se niega a devolverlos o la estafa afecta a información de tu empresa o de tus clientes, conviene actuar con asesoramiento desde el principio. En BQ Abogados te ayudamos a documentar el caso, presentar la denuncia y reclamar lo que corresponda. Puedes consultar nuestro servicio de asesoría informática, de Internet y ciberseguridad.
