ASCII Smuggling: Cómo los caracteres invisibles están desafiando la seguridad del correo electrónico
En un entorno donde las defensas de ciberseguridad son cada vez más sofisticadas, los atacantes han vuelto a demostrar su capacidad de adaptación. Microsoft ha emitido recientemente una alerta sobre una campaña de phishing de alto volumen que utiliza una técnica denominada ASCII Smuggling. Esta táctica emplea caracteres Unicode invisibles para fragmentar palabras clave y evadir los filtros de seguridad tradicionales.
¿Qué es el ASCII Smuggling?
El ASCII Smuggling es una técnica de ofuscación que consiste en insertar caracteres Unicode que no se representan visualmente en las interfaces de usuario humanas. Específicamente, los atacantes están utilizando el bloque de etiquetas Unicode (rango U+E0000 a U+E007F). Estos caracteres son «espejos» de los caracteres ASCII imprimibles, pero son invisibles para el ojo humano.
Para un usuario, un correo electrónico puede parecer legítimo y contener palabras comunes como «funding» (financiación). Sin embargo, para un filtro de correo electrónico que busca patrones de texto literales, la palabra podría estar escrita como fun⟨U+E0020⟩ding. Al estar fragmentada por un carácter invisible, el filtro no reconoce la palabra prohibida o sospechosa, permitiendo que el mensaje llegue a la bandeja de entrada de la víctima.
El origen: De la IA al Phishing tradicional
Lo más preocupante de este hallazgo es su origen. Esta técnica de evasión no es nueva en el ámbito de la Inteligencia Artificial, donde se utilizaba para realizar ataques de prompt injection (inyección de instrucciones) en modelos de lenguaje (LLM). Los atacantes han logrado trasladar con éxito esta sofisticación técnica a las campañas de spam y phishing convencionales.
Según el equipo de investigación de seguridad de Microsoft, la campaña alcanzó volúmenes críticos, enviando entre 1 y 2,37 millones de correos electrónicos diarios durante los días laborables. La actividad seguía un ritmo empresarial: cesaba casi por completo los fines de semana y se reanudaba con fuerza los lunes.
Impacto en el sector empresarial
La campaña ha tenido como objetivo principal a solicitantes de préstamos de la administración de pequeñas empresas (SBA), utilizando señuelos financieros muy convincentes. Los atacantes emplearon cientos de dominios desechables con temáticas financieras, tales como:
- guardiangrowthfunding[.]com
- thebusinessloanexpress[.]com
- digitalcapitalboost[.]com
Además, para aumentar su apariencia de legitimidad, los correos se enviaron a través de plataformas de marketing reputadas como ActiveCampaign. Esto complica el filtrado basado en la reputación de la IP, ya que los mensajes provienen de servicios legítimos utilizados por miles de empresas legales.
¿Cómo pueden protegerse las organizaciones?
Desde la perspectiva de la gestión de riesgos y la ciberseguridad corporativa, este tipo de amenazas subraya la necesidad de una defensa multicapa:
- Actualización de sistemas de detección: Es fundamental que las soluciones de seguridad de correo electrónico sean capaces de normalizar o eliminar caracteres Unicode no imprimibles antes de realizar el análisis de contenido.
- Concienciación de los empleados: La formación en ciberseguridad debe evolucionar. Aunque el texto parezca normal, los empleados deben ser cautelosos con correos no solicitados que soliciten información financiera sensible.
- Monitoreo de señales sospechosas: El uso excesivo de técnicas de ofuscación debe ser tratado como una señal de alerta inmediata por los equipos de respuesta ante incidentes.
En Intedya, recordamos que la ciberseguridad no es solo una cuestión de software, sino de procesos y vigilancia constante. La adopción de normativas internacionales y una cultura de prevención son las mejores herramientas para mitigar el impacto de estas tácticas evasivas de nueva generación.
Fuentes
- The Hacker News — Phishing Campaign Sends Millions of Emails Using Invisible Unicode to Evade Filters
https://thehackernews.com/2026/09/phishing-campaign-sends-millions-of.html