El correo falso de «documento pendiente de firma»: cómo comprobarlo antes de abrir y qué hacer si ya hiciste clic
Un martes a las 4:50 de la tarde te llega un correo: «Documento pendiente de firma: contrato de servicios». Trae el logotipo de una plataforma que suena a firma electrónica, un botón azul («Revisar y firmar») y una frase de urgencia: «Vence hoy». Esperas un contrato esta semana. Haces clic.
Es el caso 4 del pilar, Suplantación, fraude y disputas con la firma digital, que lo resuelve en pocas líneas. Aquí lo desarrollamos: qué mirar antes de abrir, qué se puede comprobar con herramientas del Estado y qué hacer según lo que ya entregaste. Leímos las normas y las guías oficiales el 17 de octubre de 2026. Lo que no pudimos comprobar lo decimos.
La firma digital no viaja en el cuerpo del correo
Una firma digital es un cálculo criptográfico guardado dentro del archivo firmado. En un PDF se ve en el panel de firmas del visor. Ningún texto del correo («firmado digitalmente por…», «documento certificado»), ningún sello y ningún garabato pegado como imagen prueba nada; de eso trata la firma escaneada o pegada como imagen.
De ahí una consecuencia que es inferencia nuestra: el correo puede avisar de que existe un documento, pero la prueba de que está firmado está en el archivo. Si lo único que hay es un botón que lleva a una página que pide contraseña, no hay nada que validar, y eso ya es una señal.
Antes de abrir: seis cosas que mirar
La página de orientación de la PCM «¿Qué el es el phishing?» (el título lleva esa errata en el original; último cambio: 20 de octubre de 2024) recomienda revisar el remitente («si no coincide exactamente con la empresa, podría ser un intento de phishing»), no abrir enlaces sospechosos y entrar al sitio oficial escribiendo su dirección en el navegador. Añade que ninguna institución legítima pide contraseñas por mensajes no solicitados. La nota del Ministerio del Interior del 7 de marzo de 2025 suma: no abrir adjuntos de fuentes desconocidas y verificar el enlace antes del clic. Con eso y con nuestro criterio:
- ¿Lo esperabas? Si nadie te avisó por otro canal, desconfía. Llama o escribe al supuesto remitente con un dato de contacto que ya tengas, no con el del correo.
- El remitente completo. El nombre visible («Firma Digital») lo escribe quien envía. Lee la dirección entera y compara el dominio con el de la empresa real; una letra cambiada basta.
- El destino del botón. En el computador, pasa el cursor sin hacer clic y lee la dirección que aparece abajo. En el celular, mantén pulsado. Si no coincide con el remitente, no entres.
- La urgencia. «Vence hoy» presiona para que no mires los puntos anteriores. La PCM menciona la solicitud urgente entre las formas del smishing; aplicarlo al correo es extensión nuestra.
- Lo que te piden. Para ver un documento no necesitas escribir la contraseña del correo, el código que acaba de llegar por SMS ni el PIN de tu token. Si la página los pide, para.
- El candado no basta.
https://indica que la conexión va cifrada, no que el sitio sea de quien dice. Esta aclaración técnica es nuestra; no la encontramos en las guías del Estado.
Qué aspecto tiene el aviso legítimo de cada plataforma, no lo afirmamos: no revisamos las invitaciones de terceros. Si tu proveedor te envía invitaciones por correo, pídele por escrito desde qué dominio.
Si trae un PDF adjunto «ya firmado»
Aquí hay una prueba objetiva. El validador de Firma Perú comprueba firmas en PAdES, XAdES o CAdES («otros formatos pueden dar resultados no concluyentes»), acepta hasta 10 MB y declara que los documentos cargados «no se almacenan en el servidor». Qué mide y por qué un verde no lo dice todo está en qué comprueba de verdad el validador del Estado.
Un detalle práctico, también inferencia nuestra: el archivo se elige y se sube sin abrirlo en tu visor. Guárdalo desde el correo, no le hagas doble clic y súbelo desde la página del validador. Si no hay firma, o el certificado no pertenece a una entidad acreditada, el documento no tiene firma digital, se vea como se vea.
Para saber si una entidad de certificación está reconocida, la lista de confianza de INDECOPI está en iofe.indecopi.gob.pe/TSL/tsl-pe.pdf (el archivo XML figura modificado el 10 de agosto de 2026). Un límite: enumera servicios de certificación, no las plataformas que te mandan documentos. Que una plataforma «use certificados» no hace legítimo el correo. Cómo se lee, en firma remota acreditada, ROPS y TSL.
Y un PDF con firma válida no dice nada del correo que lo trajo: una estafa puede adjuntar un documento verdadero para darte confianza y pedirte luego «confirmar» tus datos en un enlace.
Ya hiciste clic: depende de lo que entregaste
De menos a más grave.
Solo abriste el enlace y cerraste. Cierra la pestaña, no descargues nada y guarda el correo. No hay fuente oficial que diga más para este caso. Nuestro consejo: antivirus actualizado, que es lo que las guías del Estado piden mantener, y vigilar la cuenta unos días.
Escribiste la contraseña de tu correo o de otra cuenta. Cámbiala desde otra vía, no desde la página abierta, y activa la autenticación de dos factores, como indica la PCM. Si la reutilizas en otras cuentas, cámbialas también. Revisa en tu correo las reglas de reenvío automático y los dispositivos conectados, que es donde un intruso suele dejar la puerta abierta (consejo nuestro).
Escribiste un código de SMS o de una aplicación. Es probable que alguien lo estuviera usando en ese momento para entrar a una cuenta tuya (inferencia nuestra). Avisa de inmediato a la entidad dueña de la cuenta, sea banco, SUNAT o proveedor de firma, y pide que bloqueen el acceso. La nota del Mininter pide lo mismo: contactar a la entidad suplantada.
Escribiste tu PIN, las credenciales con que firmas en remoto, o instalaste lo que te pidieron. Trata el certificado como comprometido. El reglamento de la Ley 27269, D.S. 052-2008-PCM (El Peruano, 19 de julio de 2008), lo dice en tres artículos:
- El artículo 18 obliga a titular y suscriptor, «bajo responsabilidad», a solicitar la cancelación al tomar conocimiento de la «exposición, puesta en peligro o uso indebido de la clave privada». Habla de exposición, no de uso consumado.
- El artículo 10, literal e), manda notificar «de inmediato» a la entidad de registro o a la de certificación si la clave privada «queda comprometida en su seguridad».
- El artículo 15, literal c), en el texto del D.S. 029-2021-PCM (19 de febrero de 2021), pide al titular la cancelación si se comprometió la reserva de la clave privada, «excepto cuando dicha clave sea gestionada por un Prestador de Servicios de Valor Añadido acreditado en la modalidad de sistema de creación de firma remota».
Que teclear el PIN en una página falsa sea «exposición» es lectura nuestra; la norma no trae ese caso. Con firma remota rige la excepción del 15 c), pero el 18 no la repite, así que lo prudente es cancelar igual. Cómo se pide, desde cuándo surte efecto y qué pasa con lo firmado antes: Firmaron con tu certificado digital y cancelar un certificado digital. Si el PIN es el de un token, mira PIN bloqueado o token perdido. No esperes a ver si firman algo antes de cancelar.
Qué delito es y cómo denunciar
La Ley 30096, de Delitos Informáticos (El Peruano, 22 de octubre de 2013), tiene tres artículos que pueden encajar. Cuál aplica lo decide el fiscal.
- Artículo 2, acceso ilícito. En el texto del Decreto Legislativo 1614 (21 de diciembre de 2023): quien «deliberada e ilegítimamente accede a todo o en parte de un sistema informático, o se excede en lo autorizado», de uno a cuatro años; si vulnera medidas de seguridad, de tres a seis. Encaja si el atacante entra a tu correo con la contraseña que le diste.
- Artículo 8, fraude informático. Mismo decreto: provecho ilícito en perjuicio de tercero mediante, entre otros medios, la «suplantación de interfaces o páginas web», de cuatro a ocho años. Una página que copia a una plataforma de firma para quedarse con credenciales es lo que esa frase nombra.
- Artículo 9, suplantación de identidad. En el texto del Decreto Legislativo 1591 (13 de diciembre de 2023): quien «mediante las tecnologías digitales suplanta la identidad de una persona natural o jurídica», si resulta perjuicio «material, moral o de cualquier otra índole», de tres a cinco años. Que fingir ser una empresa de firma cuente como suplantarla es lectura nuestra; no hallamos sentencia que lo diga.
Antes de denunciar, guarda lo que pide la nota del Mininter: capturas, correos, mensajes. Añade el correo original con sus cabeceras completas (la mayoría de los clientes tienen «ver original» o «mostrar origen»); eso es consejo nuestro. Luego:
- Línea de la PNP para delitos informáticos: 942439245, según la nota del Mininter del 7 de marzo de 2025. Tiene más de un año: confirma el número al llamar.
- Central Única de Denuncias (CUD) del Ministerio del Interior. Su servicio «Denunciar delitos informáticos» (último cambio: 15 de octubre de 2026) cita entre sus ejemplos los correos que fingen ser de un banco para pedir contraseñas o tarjetas, y entrega un código de registro al terminar.
Las páginas no dicen cuál vía conviene primero. Quédate con el código o el número. Para lo que sigue, como desconocer documentos firmados con tu certificado, vuelve a Firmaron con tu certificado digital. Si con tus datos llegaron a sacar un certificado, trata ese caso el hermano de hoy, cuando la entidad emite el certificado a un impostor.
Lo que sale mal
- Responder para «preguntar si es real». Confirmas que tu dirección está activa. Escribe al contacto real por otro canal.
- Cambiar la contraseña desde el mismo enlace. Si el enlace es falso, la nueva también se la llevan.
- Borrar el correo para «limpiar». Pierdes las cabeceras de la denuncia. Muévelo a una carpeta aparte.
- Esperar antes de cancelar el certificado. El artículo 18 no condiciona la cancelación a un uso indebido ya ocurrido.
- Fiarte del verde del validador sobre el correo. Mira el archivo, no quién te lo mandó.
Antes del próximo aviso
Una medida de organización, que es opinión nuestra: si en tu empresa se firma con certificado, acuerda por escrito por qué canal llegan los documentos a firma, desde qué dominio y quién confirma una excepción. Un aviso que no cumple esa regla no se abre, aunque parezca urgente. Hay un modelo en la política interna de firma digital.
Si necesitas un certificado o revisar el tuyo, el catálogo está en mifirmadigital.pe/certificados, y para dudas de tu caso puedes escribirnos.
Lo que este artículo no afirma
- Cómo luce el aviso legítimo de cada proveedor, ni el flujo de nuestros productos: lo que no comprobamos, no lo describimos.
- Que exista una lista oficial de plataformas de firma legítimas. Encontramos la lista de confianza de INDECOPI, que enumera servicios de certificación.
- Cifras de ataques: sin fuente oficial con nombre y fecha, no las damos.
- Qué alertas del Centro Nacional de Seguridad Digital hay hoy sobre firmas falsas. Hay alertas integradas en gob.pe, pero las que vimos son de 2020 a 2024 y no las leímos enteras.
- Que la Ley 30096 se haya aplicado a este tipo de correos. Citamos los textos de los artículos 2, 8 y 9; no leímos un consolidado posterior.
- Que el D.S. 052-2008-PCM vigente sea solo lo citado. Los artículos 18 y 10 e) van en su texto de 2008, porque el D.S. 029-2021-PCM no los reescribe según la lista que leímos; otras normas podrían haberlos tocado.
- Que los teléfonos y las páginas sigan igual.
- Nuestras lecturas, marcadas como inferencia en el texto: la firma se prueba en el archivo y no en el correo, subir el adjunto sin abrirlo, el PIN escrito en una página falsa como «exposición» y la suplantación del artículo 9.
Cuando termines, vuelve al mapa del problema en Suplantación, fraude y disputas con la firma digital.
Última revisión: 17 de octubre de 2026.
Fuentes
Consultadas el 17 de octubre de 2026.
- Ley 30096, Ley de Delitos Informáticos, El Peruano, 22 de octubre de 2013 (texto original).
- Decreto Legislativo 1614, El Peruano, 21 de diciembre de 2023: nuevo texto de los artículos 2 y 8 de la Ley 30096.
- Decreto Legislativo 1591, El Peruano, 13 de diciembre de 2023: nuevo texto del artículo 9 de la Ley 30096.
- D.S. 052-2008-PCM, Reglamento de la Ley 27269, El Peruano, 19 de julio de 2008: artículos 10 e), 15 y 18.
- D.S. 029-2021-PCM, El Peruano, 19 de febrero de 2021: texto de los artículos 10 y 15 del reglamento.
- ¿Qué el es el phishing?, Presidencia del Consejo de Ministros, último cambio 20 de octubre de 2024.
- Sé CiberConsciente: Mininter te enseña cómo protegerte y no caer en el phishing, Ministerio del Interior, 7 de marzo de 2025.
- Central Única de Denuncias: denunciar delitos informáticos, Ministerio del Interior, último cambio 15 de octubre de 2026.
- Validador de Firma Perú, Presidencia del Consejo de Ministros.
- Lista de confianza (TSL) de INDECOPI; su versión XML figura modificada el 10 de agosto de 2026.