Gmail dice que un adjunto es peligroso aunque el remitente sea de confianza: causas y como abrirlo

Recibes una factura de un proveedor con el que trabajas desde hace tres años. Abres el correo y, en vez del PDF, te encuentras esto: "Este mensaje parece peligroso. Los estafadores suelen copiar mensajes de empresas conocidas para intentar robar datos personales." Y tú ahí, con el archivo delante, sin poder tocarlo, preguntándote si de verdad tu proveedor de toda la vida se ha puesto a mandar virus de repente.

Spoiler: casi nunca es eso. Gmail no está analizando el contenido del archivo con una precisión quirúrgica cada vez que muestra ese aviso. Está aplicando un conjunto de reglas automáticas sobre el remitente, el formato del correo y el propio adjunto, y esas reglas fallan con más frecuencia de la que Google admite.

Qué está comprobando Gmail realmente cuando muestra ese aviso

El mensaje de "parece peligroso" no es una alerta de virus detectado, aunque lo parezca por el tono. Es una alerta de confianza: Gmail ha cruzado varias señales sobre quién te escribe y ha decidido que algo no cuadra. La diferencia importa, porque si fuera un virus real Gmail directamente rechazaría el correo o lo pondría en cuarentena sin dejarte ni verlo — de hecho lo hace en los casos de malware confirmado.

Cuando en cambio te deja ver el correo pero te bloquea el adjunto con esta advertencia intermedia, lo que está diciendo es "no puedo confirmar que quien dice ser el remitente sea realmente quien lo envió". Y ahí es donde entra la autenticación del correo, algo que la mayoría de usuarios nunca ha tocado ni sabe que existe.

Las cinco causas reales, de más a menos frecuente

1. El dominio del remitente no tiene bien configurados SPF, DKIM o DMARC. Son tres registros técnicos que el servidor de correo del remitente debe publicar para "firmar" sus envíos. Muchas pymes y autónomos usan un dominio propio para el correo pero jamás configuraron estos registros, o lo hicieron mal. Gmail lo detecta y, aunque el remitente sea cien por cien real, marca sus correos como sospechosos de forma sistemática.
2. El correo se envió de forma masiva o repetida con un patrón parecido al spam. Boletines, facturas automáticas, avisos que salen del mismo servidor a cientos de destinatarios a la vez: si el volumen y la frecuencia encajan con el patrón típico de una campaña de phishing, Gmail actúa por si acaso, aunque el contenido sea legítimo.
3. El diseño del correo imita a una marca conocida. Si tu proveedor usa una plantilla con logo, colores corporativos y estructura muy parecida a la de un banco, una gestoría conocida o una gran empresa, Gmail puede interpretarlo como un intento de suplantación, incluso cuando el remitente es auténtico.
4. El tipo de archivo está en la lista de formatos restringidos. Ejecutables, scripts, archivos comprimidos con contraseña o macros en documentos de Office activan alertas automáticas casi siempre, sea cual sea el remitente.
5. El archivo está realmente infectado o el remitente ha sido comprometido. Esta es la única de las cinco en la que el aviso acierta del todo. Ocurre menos de lo que la gente teme, pero ocurre: cuentas de proveedores reales hackeadas que empiezan a mandar adjuntos maliciosos a toda su lista de contactos sin que el dueño se entere.

Con estas cinco encima de la mesa, la pregunta que importa no es "¿por qué me lo bloquea?" sino "¿cuál de las cinco es la mía?". Y eso sí se puede comprobar.

Cómo distinguir un falso positivo de una amenaza real

Antes de decidir si abres el adjunto, dedica dos minutos a esto:

• Abre el menú de tres puntos del correo y pulsa "Mostrar original". Ahí aparecen los resultados técnicos de SPF, DKIM y DMARC (PASS o FAIL). Si los tres fallan y el remitente es una empresa pequeña con dominio propio, casi seguro que es el problema número uno de la lista.
• Comprueba la dirección de correo completa, no solo el nombre que se muestra. Gmail muestra "Juan Pérez – Gestoría XYZ" aunque la dirección real sea algo tan distinto como noreply-updates@dominio-raro.net. Ese desajuste es la pista más clara de suplantación real.
• Pregunta al remitente por otro canal — WhatsApp, teléfono, una llamada rápida — si de verdad te ha mandado ese archivo hoy. Suena exagerado para una factura, pero lleva menos tiempo que restaurar un ordenador infectado.
• Si tienes dudas serias, sube el archivo a VirusTotal antes de abrirlo desde otro dispositivo o pídele al remitente que te lo pase por un servicio como Google Drive o WeTransfer, donde puedes verlo sin ejecutarlo directamente.

Si después de este repaso todo apunta a que el remitente es de fiar y el fallo está en su configuración técnica (causas 1 a 3), puedes seguir adelante con tranquilidad razonable. Si el tipo de archivo es el problema (causa 4), la solución pasa por pedir el archivo en otro formato. Y si algo no cuadra — dirección rara, prisa injustificada, petición de datos bancarios — para ahí y no sigas.

Cómo abrir o descargar el adjunto cuando confías en el remitente

Gmail no te deja indefensa ante sus propios falsos positivos. Tienes varias salidas, de la más simple a la más segura:

Descárgalo más tarde. A veces el bloqueo es temporal, mientras el analizador de Gmail termina de procesar el archivo. Prueba de nuevo pasada media hora antes de asumir que es definitivo.

Ábrelo bajo tu responsabilidad. Gmail suele ofrecer esta opción cuando el bloqueo es por sospecha y no por detección confirmada de malware. Solo tiene sentido usarla si ya has verificado el remitente en el paso anterior — nunca como primer movimiento.

Pide que te lo reenvíen desde Google Drive. Si el remitente sube el mismo archivo a su Drive y te comparte el enlace en vez del adjunto directo, Gmail no aplica el mismo filtro de adjuntos y normalmente el archivo llega sin problema.

Revisa el correo desde otro cliente o dispositivo. En ocasiones el bloqueo depende de la app concreta (la app móvil de Gmail es más estricta que la versión web en algunos formatos). Comprobarlo desde el navegador de un ordenador a veces resuelve el bloqueo sin hacer nada más.

Si eres tú quien envía correos y te marcan como peligroso

Esta parte se le olvida a casi todo el mundo, pero si tienes un negocio, una gestoría o simplemente envías facturas desde un dominio propio, el problema puede estar en tu configuración, no en la de quien te lee. Vale la pena revisar las claves para evitar que tus correos se marquen como spam, porque los mismos fallos de SPF, DKIM y DMARC que hacen saltar la alerta de "mensaje peligroso" son, en el fondo, la misma familia de problemas que provoca que tus correos lleguen a la carpeta de spam en Outlook o en cualquier otro cliente.

Personalmente, a clientes que gestionan su propio dominio de correo les recomiendo directamente evitar adjuntar archivos ejecutables o comprimidos con contraseña salvo que sea estrictamente necesario, y mandar documentos sensibles por enlace a Drive con permisos limitados en vez de adjunto directo. Es menos cómodo al principio, pero evita que la mitad de tus facturas terminen bloqueadas al otro lado.

El error que más se repite (y que deberías evitar)

Sin rodeos: el fallo más habitual no es abrir un adjunto peligroso por accidente, es lo contrario — la gente pulsa "abrir bajo tu responsabilidad" por pura pereza, sin haber mirado ni el remitente completo ni el resultado de la autenticación, solo porque el archivo "parece" venir de alguien conocido. Si acabas de leer este artículo porque te ha pasado hoy mismo, antes de tocar nada revisa la dirección exacta del remitente y el resultado de "Mostrar original". Te llevará dos minutos y es la diferencia entre abrir una factura de verdad o darle la bienvenida a un ransomware disfrazado de PDF. Y si algo no encaja, mejor perder esa factura que perder el ordenador entero — siempre se puede pedir que la reenvíen. Aprovecha también para revisar los accesos recientes de tu cuenta de Gmail de vez en cuando; es gratis, tarda un minuto y es la mejor forma de detectar a tiempo si alguna vez te han hackeado la cuenta antes de que empiece a mandar adjuntos maliciosos en tu nombre sin que te enteres.