El phishing ha encontrado una nueva forma de burlar los filtros de seguridad y Microsoft acaba de encender las alarmas. La compañía ha identificado una campaña enorme que utiliza caracteres Unicode invisibles para esconder palabras clave dentro de los mensajes y esquivar así los sistemas que protegen nuestro correo electrónico. La técnica no es cualquier cosa. En apenas unos días llegó a mover más de 2,3 millones de mensajes diarios, justo cuando una oleada de falsas ofertas financieras empezó a inundar bandejas de entrada por todo el mundo.
Lo curioso es de dónde viene este truco. Los investigadores de Microsoft Security Research explican que los atacantes reciclaron un método que antes servía para engañar a modelos de inteligencia artificial. La idea es sencilla y peligrosa a la vez. Se insertan caracteres del bloque Unicode Tags entre las letras de palabras como «funding» o «credit». Para nosotros, mirando la pantalla, el texto se lee sin ningún problema. Pero los sistemas de seguridad que se basan en listas de palabras clave dejan de reconocer esos términos, y el correo pasa como si nada.
El ASCII smuggling traslada un truco de la IA al phishing
Detrás de todo esto está lo que se conoce como ASCII smuggling. Consiste en meter códigos invisibles dentro de palabras que parecen totalmente normales, cambiando su estructura digital sin tocar su aspecto. Hasta hace poco esta jugada se usaba sobre todo para inyectar instrucciones ocultas en modelos de lenguaje. Ahora los delincuentes la han llevado al terreno del phishing financiero, fragmentando términos para saltarse las alarmas automáticas.
En la campaña detectada, los responsables colaban estos caracteres invisibles en palabras ligadas a ofertas de crédito y financiación. Un filtro que busca exactamente la palabra «funding» no la encuentra si está partida por un código invisible, aunque a nosotros nos aparezca perfecta en la pantalla. Ese es el punto débil que aprovechan. Por eso estos mensajes llegan a Outlook o Gmail sin quedarse atascados en el primer control automático. Solo saltan las alertas cuando entran en juego otras señales de seguridad que no dependen del simple análisis del texto.
Link affiliatoLos envíos alcanzaron 2,37 millones de correos diarios
La actividad de esta red se disparó el 9 de febrero de 2026. Ese día el volumen pasó de 21.000 mensajes a más de 1,3 millones en apenas una jornada. Un salto brutal. A partir de ahí la cosa se mantuvo en niveles críticos durante unos tres meses, con un pico máximo de 2,37 millones de envíos diarios a finales de ese mismo mes.
La campaña había empezado antes de ese momento álgido y, según Microsoft, sigue activa, aunque ya no depende solo de este método de ocultación. La frecuencia de los envíos bajó en mayo, pero la telemetría de la empresa confirma que la operación no se ha frenado del todo. Eso apunta a algo incómodo. Quienes están detrás pueden estar usando otras vías para seguir manteniendo el alcance de sus mensajes maliciosos.
Fuente
Imagen: softzone.es