Millones de correos de phishing pasaron escondiendo un carácter que nadie ve

La palabra del correo decía funding. Lo que el filtro leía era fun, luego un carácter que no reconocía, luego ding. Ese único hueco bastó para colar millones de mensajes ante defensas que buscaban exactamente esa palabra.

Los investigadores de Microsoft Noam Kochavi y Sarah Wolstencroft publicaron los detalles el 4 de septiembre. La técnica se llama ASCII smuggling y usa los caracteres de etiqueta de Unicode, un bloque de puntos de código que no dibujan absolutamente nada en pantalla. Hasta ahora se hablaba de ellos sobre todo como forma de esconder instrucciones dentro de un texto que un modelo de IA obedecería y que una persona nunca vería. Esta campaña los apuntó en cambio contra la simple búsqueda de palabras clave. Las cifras son llamativas: unos 21.000 mensajes el 8 de febrero, 1,3 millones al día siguiente, un pico de 2,37 millones en un solo día a finales de febrero, alrededor de 150 dominios remitentes de aspecto financiero y un ritmo de ráfagas entre semana y fines de semana en silencio que siguió hasta apagarse después del 15 de mayo. Los cebos apuntaban a quienes solicitaban un préstamo a la Small Business Administration estadounidense, y el correo salía por la plataforma de marketing ActiveCampaign para que la infraestructura de envío pareciera del todo respetable.

Nada de esto se detecta entornando los ojos ante un correo, y ese es justamente el problema. Un mensaje que llega a tu bandeja no ha sido avalado por nadie; simplemente no ha hecho saltar un filtro. Júzgalo, pues, por lo que quiere de ti. Dinero, unas credenciales, un documento que no esperabas, un plazo. Si un correo sobre un préstamo, una factura o una entrega exige que actúes, ciérralo y entra por una dirección o una aplicación que ya tenías.

Si un enlace sí te llevó donde no debía y tu navegador ahora se abre en una página de búsqueda que nunca elegiste, para eso está el asistente de reparación de navegador secuestrado de Tendvane.