Guillem Alsina Gonzàlez
El concepto conocido como «contrabando ASCII» (ASCII smuggling en inglés) ha adquirido relevancia durante el último año en el ámbito de la ciberseguridad. Dicha técnica consiste en utilizar caracteres Unicode invisibles para ocultar información dentro de un texto que a simple vista parece normal. Hasta hace poco, el contrabando ASCII era una técnica utilizada exclusivamente para manipular modelos de lenguaje artificial mediante caracteres invisibles, introduciendo instrucciones ocultas sin que el usuario humano notara nada extraño al leer documentos o páginas web.
Debido a la popularidad de este método de ataque contra asistentes virtuales, los investigadores de seguridad de Microsoft desarrollaron firmas de detección para identificar este tipo de riesgos en el tráfico de correo electrónico. Sin embargo, la monitorización continua de las redes reveló un cambio de tendencia muy marcado a partir del mes de febrero de este mismo año 2026, descubriendo los investigadores que esta amenaza se está empleando ahora para evadir filtros de seguridad en campañas de phishing, alejándose de su propósito original centrado en los algoritmos generativos.
En vez de ocultar comandos extensos destinados a engañar a una inteligencia artificial, los atacantes empezaron a insertar un único carácter invisible en medio de palabras clave utilizadas como gancho comercial, especialmente términos relacionados con préstamos y líneas de crédito para empresas. Al alterar la estructura interna de las palabras mediante un espacio oculto, el término sigue siendo perfectamente legible para el directivo o empleado que recibe el mensaje. Por el contrario, los sistemas de protección perimetral pueden dejarlo pasar al analizar el correo, ya que los filtros de detección basados en diccionarios de palabras o en el aprendizaje automático dejan de reconocer el concepto completo y detectan únicamente fragmentos inconexos, lo que facilita que la amenaza alcance la bandeja de entrada.
Las alertas asociadas a estas etiquetas Unicode ocultas experimentaron una drástica subida a principios del mes de febrero. Durante el primer trimestre del año se detectó un volumen masivo de correos fraudulentos que insertaban estos caracteres ocultos en palabras clave financieras, alcanzando un pico máximo de actividad a finales de febrero, con más de dos millones de mensajes diarios vinculados a unos 150 dominios de origen.
El comportamiento de los atacantes mostró un patrón de distribución sumamente regular, con envíos masivos de lunes a viernes y una pausa casi total durante los fines de semana. Este calendario de actividad es un indicador habitual del uso de plataformas automatizadas de distribución de correo basura dirigidas al entorno profesional. Tras esa etapa inicial de máxima intensidad, el volumen experimentó un descenso paulatino hasta reducirse drásticamente a partir de mediados de mayo, dejando un rastro residual en los meses siguientes.
A pesar de que la alteración del texto está diseñada específicamente para engañar a las herramientas de protección, la propia naturaleza de esta técnica proporciona una ventaja operativa a los responsables de los sistemas de información. La rareza de estos símbolos en el tráfico legítimo convierte su detección en un indicador altamente fiable para bloquear ataques.
El bloque específico de caracteres Unicode empleado por los atacantes se concibió originalmente para el etiquetado de idiomas, pero actualmente se considera obsoleto y su uso normal es prácticamente inexistente. Como resultado, un método diseñado para sortear la clasificación semántica acaba ofreciendo una señal técnica muy evidente, lo que permite a las plataformas de defensa actuar con rapidez y mantener un índice mínimo de falsos positivos, neutralizando la amenaza antes de que los usuarios interactúen con ella.
