¿Es seguro abrir un ZIP? Compruébalo antes de descomprimir

Revisa un ZIP antes de descomprimirlo. Su índice enumera cada archivo con su nombre, su tamaño y cuánto se ha reducido. Cinco cosas delatan a un ZIP que busca problemas: un tamaño que se dispara al descomprimirlo, nombres que salen de su carpeta, una segunda extensión que oculta el tipo real, una entrada cifrada y un archivo cuyo tipo real no coincide con su nombre. Primero mira dentro del ZIP y descomprime solo lo que esperabas.

Visor de ZIP¿Qué hay dentro de este ZIP?Úsalo gratis

Qué muestra el índice de un ZIP

Un ZIP guarda cada archivo como una entrada. Al final del archivo hay una lista, llamada directorio central, con un registro por entrada. Cada registro contiene el nombre y la ruta de la entrada, su tamaño antes y después de comprimirse, el método de compresión, una suma de control llamada CRC-32 (un número corto calculado a partir del contenido, que sirve para detectar daños) y si la entrada está cifrada.

Las herramientas de descompresión leen primero esta lista. El Visor de ZIP lee solo la lista, así que puedes ver lo que hay dentro sin descomprimir nada. Nada del archivo se ejecuta.

Bombas ZIP: archivos pequeños que se descomprimen enormes

La compresión funciona sustituyendo los datos repetidos por códigos cortos, así que cuanta más repetición hay, más pequeño es el resultado. La relación de compresión es el tamaño sin comprimir dividido entre el tamaño comprimido. Las secuencias largas de datos repetidos se comprimen muy bien. El método habitual de ZIP puede reducir una secuencia larga de bytes idénticos unas mil veces.

Una bomba ZIP aprovecha eso. Es un archivo pequeño que se descomprime hasta ocupar varios gigabytes, a veces con archivos dentro de otros archivos para multiplicar el tamaño. Descomprimir una bomba llena el disco y puede bloquear el ordenador.

Los archivos normales te dan una idea de la relación habitual. El texto y el código se comprimen mucho. Las fotos, los vídeos y los archivos que ya están comprimidos, como .docx, .xlsx y .jpg, apenas se reducen. Una relación de cientos en algo que debería ser un documento sencillo es una señal de alarma.

Nombres que se salen de la carpeta

Cada nombre de entrada puede incluir carpetas. Un nombre como ../../Startup/update.bat le indica al descompresor que suba dos niveles y escriba en una carpeta de inicio, donde el programa se ejecutaría cada vez que inicies sesión. A esto se le llama recorrido de rutas, o «zip slip». Los descompresores cuidadosos eliminan las partes ../. Las herramientas antiguas y los scripts caseros quizá no.

Un nombre que empieza por una barra, como /etc/... o C:\..., es el mismo problema: intenta escribir en un lugar fijo de tu disco. El visor muestra los nombres exactamente como están guardados, así que puedes leerlos antes de que se escriba nada.

Extensiones dobles y tipos ocultos

La última extensión del nombre de un archivo indica al sistema qué tipo de archivo es. invoice.pdf.exe termina en .exe, así que es un programa, aunque empiece por un nombre que parece un PDF. Windows oculta por defecto la extensión de los tipos de archivo conocidos, así que el nombre puede aparecer como «invoice.pdf».

Comprueba el tipo real a partir de los primeros bytes

Cada tipo de archivo empieza con unos bytes de firma. La extensión es solo una etiqueta, y cualquiera puede cambiarla. Comprueba el tipo real de un archivo lee esos primeros bytes y los compara con el nombre.

Tipo	Primeros bytes (hexadecimal)
Documento PDF	25 50 44 46 (el texto %PDF)
Imagen PNG	89 50 4E 47
Imagen JPEG	FF D8 FF
ZIP, y archivos de Word o Excel (son ZIP por dentro)	50 4B 03 04 (el texto PK)
Programa de Windows	4D 5A (el texto MZ)

Que no coincida no demuestra que el archivo sea dañino. Sí significa que el archivo no es lo que su nombre dice, y eso basta para parar y comprobar de dónde viene.

Entradas cifradas

Una entrada protegida con contraseña oculta su contenido. El visor sí puede mostrar los nombres y los tamaños, pero aquí no se puede inspeccionar lo que hay dentro, y los antivirus tampoco pueden leerlo. Por eso los atacantes usan archivos cifrados para colar archivos a través de los filtros. Los extractos bancarios y los formularios de impuestos también suelen cifrarse a propósito. Si el remitente es alguien que conoces, pide la contraseña por otro canal y abre el archivo solo cuando sepas quién lo ha enviado.

Basura de Mac y Windows

Dos sistemas añaden archivos que tú no creaste:

• macOS guarda datos extra de cada archivo en una carpeta oculta __MACOSX, con nombres ._ junto a los archivos, y crea archivos .DS_Store que guardan la configuración de vista del Finder.
• Windows añade Thumbs.db, una caché de miniaturas, y desktop.ini, que guarda la configuración de visualización de las carpetas.

No son peligrosos, pero ensucian el archivo y confunden a quien lo recibe.

Limpia un archivo antes de enviarlo

Limpiar el ZIP te da un archivo nuevo sin los archivos de Mac y Windows. El original se queda como estaba. Una secuencia segura:

1. Abre el archivo en el Visor de ZIP y lee todos los nombres.
2. Revisa con Comprobar tipo de archivo cualquier archivo cuyo nombre o tipo te parezca raro.
3. Limpia el archivo y abre la copia limpia para confirmar que sigue conteniendo lo que querías enviar.
4. Envía la copia limpia.

Casos límite

• Archivos dentro de archivos. El visor muestra la lista exterior. Abre el archivo interior por separado y revísalo de la misma forma.
• Archivos dañados. El directorio central está al final, así que un final roto puede impedir que un ZIP se abra del todo. Eso es un problema de daños, no una prueba de que el archivo sea seguro. Comprueba si está dañado.
• Archivos autoextraíbles. Un archivo con un programa adjunto, a menudo con extensión .exe, es un programa. No lo ejecutes a menos que confíes en el origen.
• Una lista limpia no es una garantía. Una lista ordenada indica que los nombres y los tamaños parecen normales. No demuestra que cada archivo sea inofensivo. No ejecutes ningún programa de un archivo en el que no confíes, ni siquiera después de revisarlo.