Campañas de phishing parten las palabras con caracteres Unicode invisibles para burlar los filtros
Microsoft documentó una operación que alcanzó 2.37 millones de mensajes diarios insertando caracteres del bloque Tags de Unicode dentro de términos financieros.
Microsoft documentó una operación de phishing a escala que evade los filtros de correo mediante caracteres invisibles del bloque Tags de Unicode. La técnica, conocida como ASCII smuggling, parte palabras clave financieras insertando un carácter que el ojo humano no percibe y que el motor de coincidencia textual sí registra como una ruptura.
Cómo funciona la evasión
El atacante convierte una palabra como "funding" en "fun[carácter invisible]ding". El destinatario lee la palabra completa en su cliente de correo. La regla del filtro, que busca la cadena exacta, encuentra dos fragmentos sin significado y deja pasar el mensaje.
Los números describen la escala: la campaña alcanzó un pico de 2.37 millones de mensajes diarios a finales de febrero de 2026, y un grupo de 148 dominios emisores concentró cerca del 96% de los mensajes marcados. Microsoft Defender bloqueó más del 99% del volumen apoyándose en reputación del remitente y verificación de dominio, señales que operan por fuera del contenido textual.
El fin de la detección por palabra clave
El episodio confirma que las reglas de asunto y cuerpo llegaron a su límite como capa primaria de defensa. Unicode ofrece decenas de caracteres de control, variantes homoglifas y marcas direccionales que producen el mismo efecto con recursos mínimos.
La señal útil se desplazó a tres lugares: la autenticación del dominio emisor, la reputación histórica de la infraestructura de envío y el comportamiento del enlace una vez abierto. Ninguno de esos tres depende de leer el texto.
Acciones concretas
Toda empresa que aún dependa de reglas textuales en su pasarela de correo tiene tres tareas verificables esta semana. Confirmar que SPF está publicado y completo. Confirmar que DKIM firma todo el correo saliente, incluidos los envíos de plataformas de marketing y facturación. Y llevar DMARC a política de rechazo, con reportes agregados dirigidos a un buzón que alguien realmente lea.
La capacitación del personal también cambia de guion. El indicador clásico —faltas de ortografía, redacción torpe, formato descuidado— pierde utilidad cuando el mensaje se ve impecable en pantalla. El nuevo hábito consiste en verificar el dominio real del remitente y confirmar por un segundo canal cualquier instrucción de pago o cambio de cuenta bancaria, sin importar cuán legítimo luzca el correo.