Un PDF puede contener código ejecutable. JavaScript que se ejecuta cuando se abre el documento, cuando pasan las páginas, cuando los campos del formulario ganan foco. Acciones automatizadas que se activan sin interacción del usuario. Objetos ocultos que lanzan aplicaciones externas. La mayoría de los archivos PDF no contienen ninguno de estos. Cuando uno lo hace, suele ser legítimo: un formulario que calcula automáticamente los totales, un documento interactivo que navega según las entradas del usuario, una presentación que avanza diapositivas automáticamente. Pero los scripts y la automatización también pueden ser maliciosos y estar ocultos por alguien que quiere que el documento haga algo que el destinatario no espera.
Eliminar los scripts ocultos y la automatización de un PDF es una precaución de seguridad que debe aplicarse a cualquier documento de una fuente desconocida o no confiable antes de abrirlo por completo, y a cualquier documento que esté preparando para compartir con destinatarios que puedan usar lectores de PDF más antiguos o menos seguros. El proceso de eliminación es sencillo una vez que sabes dónde se pueden ocultar los scripts.
Según un informe de amenazas de SonicWall de 2025, los ataques de malware basado en PDF aumentaron un 42 por ciento entre 2023 y 2025, siendo el JavaScript incorporado el vector de ataque más común (SonicWall, "Cyber Threat Report", 2025). La mayoría de los ataques se dirigieron a usuarios con lectores de PDF obsoletos que ejecutaban scripts incrustados automáticamente. La amenaza es real y la mitigación es simple: elimine los scripts antes de que puedan ejecutarse.
Dónde se esconden los scripts y la automatización en un PDF
Los scripts se pueden adjuntar a varias ubicaciones dentro de una estructura PDF. Cada ubicación es un escondite separado que debe revisarse y limpiarse individualmente. La siguiente tabla cataloga las ubicaciones comunes y los tipos de automatización que suelen aparecer en cada una.
| Ubicación | Evento desencadenante | Uso legítimo típico | Riesgo malicioso |
|---|---|---|---|
| Nivel de documento | Abrir documento, cerrar documento, guardar documento, imprimir documento | Mostrar un mensaje de bienvenida, validar el documento al abrirlo, rastrear cuándo se imprime el documento | Alto: el script se ejecuta inmediatamente cuando se abre el documento, antes de que el usuario vea el contenido. |
| Nivel de página | Página abierta, página cerrada, página visible | Activar animaciones o transiciones cuando se muestra una página específica | Medio: se ejecuta cuando el usuario navega a una página específica |
| Nivel de campo del formulario | Enfoque de campo, desenfoque de campo, cambio de campo, validación de campo, cálculo de campo | Totales de cálculo automático, validación de formatos de entrada, formato automático de datos ingresados | Medio: se ejecuta durante la interacción de forma normal; puede capturar pulsaciones de teclas o modificar datos ingresados |
| Nivel de enlace | Hacer clic en un enlace, presionar un botón, ingresar con el mouse, salir con el mouse | Navegar a una URL, enviar datos de formulario, mostrar u ocultar contenido | Bajo: requiere la interacción del usuario para activarse; puede dirigir a URL maliciosas |
Pruebe Proteger PDF
No se necesita instalación. Funciona directamente en su navegador.
Detectar scripts antes de procesarlos
Abra el PDF en un lector que pueda mostrar scripts incrustados. Adobe Acrobat Pro incluye un editor de JavaScript que enumera todos los scripts del documento con sus ubicaciones y eventos desencadenantes. La mayoría de los lectores de PDF basados en navegador no ejecutan scripts, lo que protege su dispositivo durante la visualización, pero tampoco los muestran, lo que significa que no puede auditar qué scripts existen. Si no tiene acceso a una herramienta de auditoría de scripts, asuma que cualquier PDF de una fuente que no sea de confianza puede contener scripts. El método más seguro es eliminar todos los scripts de forma proactiva en lugar de intentar determinar si cada uno de ellos es benigno. Un script que no pueda identificar debe tratarse como potencialmente malicioso.
El principio de PDF Security para scripts desconocidos es eliminarlos, no evaluarlos. El costo de eliminar un script benigno, generalmente la pérdida de alguna funcionalidad interactiva, es mucho menor que el costo de permitir que se ejecute un script malicioso.
Eliminación de scripts con desinfección basada en navegador
Cargue el PDF en una herramienta basada en navegador que ofrezca aplanamiento, desinfección o limpieza de seguridad. Estas operaciones eliminan todos los elementos interactivos: scripts, lógica de campos de formulario, acciones integradas y enlaces. El resultado es un PDF estático que muestra el mismo contenido visual pero no contiene ningún código ejecutable. Descargue el archivo limpio y verifíquelo abriéndolo en un lector que admita secuencias de comandos, confirmando que no queden secuencias de comandos. WukongPDF procesa archivos PDF sin ejecutar scripts incrustados. La plataforma Fix PDF elimina los elementos interactivos durante el procesamiento, produciendo una salida limpia y estática.
Evitar la introducción de scripts en los documentos que usted crea
Al exportar documentos a PDF desde aplicaciones de creación, verifique la configuración de exportación para ver las opciones relacionadas con elementos interactivos. Deshabilite JavaScript, macros y acciones integradas a menos que sirvan para un propósito específico y documentado que el destinatario espera. Un formulario que calcula automáticamente los totales debe incluir sólo los scripts de cálculo. Un PDF de presentación no debe incluir acciones automáticas que el destinatario no pueda controlar. El valor predeterminado para cualquier PDF que distribuya debe ser contenido estático sin código ejecutable. Los scripts y la automatización deben ser de inclusión voluntaria, no de exclusión voluntaria.
El enfoque de PDF Tools para la higiene de los scripts es el mismo que para cualquier práctica de seguridad: utilice de forma predeterminada la configuración más segura y agregue interactividad solo cuando sea necesario y el destinatario lo espere. Un PDF que llega sin scripts es un PDF que no puede ejecutar código malicioso.
Distinguir la automatización benigna del código malicioso
La mayoría de los scripts en archivos PDF no son maliciosos. Un formulario que calcula automáticamente un total a partir de partidas individuales, un documento que valida formatos de entrada en campos específicos o una presentación que navega según la interacción del usuario, todos utilizan automatización legítima. El desafío es distinguirlos de los scripts maliciosos cuando no se tienen las herramientas o la experiencia para auditar el código. Una heurística práctica: si el comportamiento del script es visible y predecible, como un cálculo que produce un valor que puede verificar o una acción de navegación que responde a un clic deliberado, probablemente sea benigno. Si el propósito del script no es obvio a partir del comportamiento visible del documento, si se activa en eventos que el usuario no controla o si intenta acceder a recursos externos, se justifica su eliminación. En caso de duda, elimine y acepte la pérdida de funcionalidad como costo de seguridad.
Para los documentos que recibe regularmente de la misma fuente, como facturas mensuales o informes semanales de un proveedor conocido, establezca confianza de forma incremental. Procese el primer documento con la eliminación de secuencias de comandos habilitada. Revise el resultado en busca de funciones faltantes. Si el documento funciona correctamente sin scripts, continúe eliminándolos de documentos posteriores de esa fuente. Si el documento pierde una funcionalidad esencial, como un formulario que ya no calcula totales, identifique los scripts específicos que brindan esa funcionalidad y colóquelos en la lista blanca mientras elimina otros. Con el tiempo, desarrollará políticas de scripts de fuentes específicas que equilibren la seguridad con la funcionalidad.
Las limitaciones del análisis antivirus en busca de scripts PDF
El software antivirus puede detectar scripts maliciosos conocidos mediante la comparación de firmas, pero este enfoque tiene limitaciones importantes. La detección basada en firmas solo detecta scripts que coinciden con patrones de malware conocidos. No se detectarán scripts maliciosos nuevos o personalizados. El software antivirus también puede detectar scripts benignos que comparten características superficiales con el malware, lo que produce falsos positivos. Depender del análisis antivirus como único método de detección de scripts proporciona una falsa sensación de seguridad. El método más seguro para archivos PDF de fuentes no confiables es eliminar el script, no evaluarlo. El costo de eliminar un script benigno es la pérdida de algunas funciones interactivas. El costo de permitir un script malicioso que evadió la detección es potencialmente mucho mayor.
Pruebe Proteger PDF
No se necesita instalación. Funciona directamente en su navegador.