Los atacantes están utilizando caracteres Unicode invisibles para que los correos de phishing parezcan inofensivos y logren engañar a los sistemas de seguridad diseñados para detectar lenguaje sospechoso. Esta campaña masiva utiliza mensajes sobre finanzas, préstamos y créditos, demostrando que cambios mínimos e invisibles dentro de las palabras pueden debilitar los filtros de seguridad estándar.

Los atacantes están utilizando caracteres Unicode invisibles para hacer que los correos electrónicos de phishing parezcan inofensivos, mientras interfieren con los sistemas de seguridad diseñados para detectar lenguaje sospechoso.

La campaña lanzó mensajes con temática financiera a escala masiva, demostrando cómo un pequeño cambio dentro de una palabra puede debilitar el filtrado estándar. Los destinatarios veían ofertas ordinarias de financiación, préstamos o crédito, pero el texto subyacente estaba alterado.

No se trata de malware entregado a través de un archivo adjunto. Es un método de evasión de phishing que cambia la forma en que se codifica el texto malicioso. Los correos electrónicos se enviaron en enormes ráfagas durante los días laborables desde dominios desechables con marca financiera y pasaron a través de infraestructura de marketing compartida.

Esa combinación otorgó a los criminales tanto alcance como una apariencia más creíble, aumentando el riesgo de fraude, robo de credenciales y costosos errores empresariales.

Microsoft afirmó en un informe que identificó una operación de phishing de alto volumen que abusa de los caracteres de etiqueta Unicode invisibles, una táctica a menudo llamada ASCII smuggling.

Los investigadores encontraron la actividad mientras examinaban las protecciones contra el contenido oculto de inyección de prompts en el correo electrónico. El descubrimiento muestra que las técnicas discutidas inicialmente en torno a los sistemas de IA pueden reutilizarse rápidamente para ataques rutinarios en la bandeja de entrada.

La escala fue impactante. La firma de detección de Microsoft registró aproximadamente 21,000 detecciones el 8 de febrero, y luego más de 1.3 millones al día siguiente.

La actividad superó posteriormente los 2.3 millones de mensajes en un día y se mantuvo elevada durante unos tres meses. La campaña siguió principalmente un horario laboral, cayendo bruscamente durante los fines de semana antes de regresar el lunes.

Los hackers utilizan caracteres Unicode invisibles

El ataque funciona porque los caracteres insertados normalmente no aparecen en pantalla. El destinatario ve un término financiero familiar, mientras que un filtro que busca el texto exacto puede ver fragmentos separados en su lugar.

Esta brecha entre el contenido visible y el contenido legible por la máquina ayuda a los atacantes a reducir el valor de las reglas simples de palabras clave, firmas y comprobaciones basadas en texto.

En los correos electrónicos observados, los criminales colocaron un carácter invisible dentro de palabras financieras de alto interés en lugar de ocultar una instrucción secreta completa.

La palabra alterada seguía pareciendo normal para el objetivo, pero su forma digital cambió lo suficiente como para confundir algunos procesos de detección. Una técnica de phishing con caracteres invisibles reportada anteriormente ilustra cómo los atacantes han utilizado cada vez más el texto oculto para romper las señales de advertencia.

El método también puede afectar a los filtros de aprendizaje automático. Muchos sistemas de correo dividen el texto en piezas más pequeñas antes de decidir si un mensaje es spam o phishing.

Cuando los atacantes dividen una palabra familiar con un carácter oculto, es posible que el sistema ya no reconozca el patrón habitual. Sin embargo, este texto inusual también puede convertirse en una señal fuerte para los defensores porque es raro en los correos electrónicos legítimos.

Microsoft vinculó esta fase a una campaña más amplia que utiliza señuelos de financiación y préstamos comerciales. La campaña se basó en cientos de dominios rotativos ensamblados a partir de un pequeño conjunto de palabras relacionadas con las finanzas.

Su método de entrega es un recordatorio de que los criminales a menudo mezclan la evasión técnica con la presión familiar de la ingeniería social, muy parecido a las tácticas vistas en una reciente campaña de phishing de códigos de dispositivo dirigida a usuarios empresariales.

La detección debe ir más allá de las palabras clave

El paso defensivo clave es normalizar el texto del correo electrónico antes de aplicar comprobaciones de palabras clave, firmas o expresiones regulares. Los equipos de seguridad deben eliminar o estandarizar los caracteres invisibles y los que no se renderizan en los asuntos y cuerpos de los mensajes.

Esto asegura que una palabra sospechosa sea evaluada en la forma en que el destinatario realmente la ve, en lugar de en su versión deliberadamente fragmentada.

Los defensores también deben tratar los caracteres ocultos inesperados como una anomalía que vale la pena investigar, teniendo en cuenta los usos legítimos, como ciertos emojis de banderas regionales.

Una sola señal no debe decidir si un correo electrónico es malicioso. La reputación del remitente, los resultados de la autenticación, las comprobaciones de URL, el volumen de mensajes, el comportamiento del dominio y el análisis de contenido visual pueden proporcionar una imagen más completa.

Las organizaciones deben probar sus puertas de enlace de correo electrónico, sus análisis de seguridad y sus sistemas de IA para confirmar que procesan los caracteres ocultos de manera consistente.

El mismo control de normalización puede reducir la exposición tanto a la evasión de phishing como a los intentos de inyección de prompts en herramientas de IA que leen el contenido del correo electrónico. La cobertura reciente de un kit de phishing de secuestro de sesión muestra por qué las defensas en capas siguen siendo esenciales cuando las campañas de correo electrónico evolucionan.

Tú, como empleado, sigues desempeñando un papel importante. Una oferta de financiación no solicitada, un aviso de préstamo o un mensaje de línea de crédito deben revisarse cuidadosamente antes de abrir un enlace o introducir credenciales.

Los equipos de seguridad deben revisar los cambios abruptos en el volumen de correo y los nuevos dominios de remitentes con temática financiera, especialmente cuando aparecen varias señales juntas.

El aumento general de las amenazas en la bandeja de entrada también se reflejó en el informe de amenazas de phishing por correo electrónico de Microsoft, subrayando que el phishing sigue siendo un riesgo de alto volumen y adaptable.

Fuentes:
https://cybersecuritynews.com/hackers-use-invisible-unicode/