Índice de contenidos
Claves de la noticia
- Los atacantes insertaron caracteres del bloque Unicode Tags dentro de reclamos financieros que seguían viéndose normales para la persona.
- La señal pasó de unas 21.000 detecciones a más de 1,3 millones el 9 de febrero y superó 2,3 millones dos días después.
- Microsoft afirma que sus capas defensivas bloquearon la mayoría de los mensajes, pero pide revisar normalización y tokenización.
Una campaña de correo reutilizó la técnica de ASCII smuggling, popularizada por los ataques de inyección de instrucciones contra IA, para romper palabras financieras ante los filtros. Microsoft llegó a registrar más de 2,3 millones de coincidencias en un día.
El texto visible y el texto procesado se separan
Microsoft Security Research ha documentado una campaña de gran volumen que escondía caracteres del bloque Unicode Tags, entre U+E0000 y U+E007F, dentro de palabras como funding. Esos puntos de código apenas se representan en las interfaces, pero continúan presentes en la cadena que recibe un clasificador. Una persona lee la palabra completa; un filtro puede dividirla en fragmentos desconocidos y perder la señal que asociaba el término con un señuelo financiero.
La técnica se conocía por otro uso: ocultar instrucciones maliciosas en páginas o correos que después consume un agente de inteligencia artificial. El modelo interpreta el contenido invisible mientras la persona no detecta nada anómalo. En la campaña observada se invierte la intención. Los caracteres no tratan de hablar con una IA, sino de confundir los modelos de lenguaje y los analizadores que clasifican spam y phishing.
El nombre ASCII smuggling puede inducir a pensar que se transporta ASCII ordinario, pero el vehículo real es un bloque suplementario de Unicode que refleja parte de sus símbolos. Esa precisión ayuda a buscar la señal correcta: no basta con detectar espacios de ancho cero ni caracteres visualmente parecidos.
Un salto de dos órdenes de magnitud
La firma inicial de Microsoft registraba alrededor de 21.000 coincidencias el 8 de febrero. Al día siguiente superó 1,3 millones y el 11 de febrero alcanzó más de 2,3 millones. La actividad se mantuvo durante unos tres meses, con caídas claras durante los fines de semana, y se agrupó en aproximadamente 150 dominios de remitente con vocabulario relacionado con préstamos, capital y financiación. La cadencia laboral encaja con una operación de marketing abusada, no con mensajes aislados.
El crecimiento entre las 21.000 y las 1,3 millones de señales equivale a más de sesenta veces en veinticuatro horas. Ese cálculo no representa necesariamente mensajes únicos ni correos que llegaron a una bandeja, porque la telemetría mide impactos de una firma. Sí demuestra que un carácter poco común pasó de ruido de fondo a infraestructura industrial. El pico ofrece a los defensores una base cuantitativa mucho más útil que una prueba de concepto.
ActiveCampaign aparece como infraestructura abusada
Los enlaces y rangos de salida coincidían con ActiveCampaign, un servicio legítimo de correo comercial. El proveedor reescribe enlaces para medir clics, por lo que las direcciones visibles conducían a dominios de seguimiento de la plataforma y no directamente al dominio de marca mostrado en el encabezado. Microsoft compartió los hallazgos antes de publicarlos y ActiveCampaign explicó que estaba ampliando sus detecciones. Un rango legítimo no debe bloquearse como indicador malicioso por sí solo.
Este detalle cambia la respuesta. Una empresa que filtre todo el proveedor dañaría campañas auténticas; una que confíe automáticamente en su reputación heredaría el abuso. La combinación útil incluye caracteres Tags, patrones de señuelo, relación entre remitente y envolvente, dominios rotatorios y comportamiento de los enlaces. La atribución correcta separa infraestructura comprometida o mal utilizada de infraestructura controlada por el atacante.
Las banderas regionales complican una regla simple
Buscar cualquier punto del bloque Tags genera falsos positivos. Las banderas de Inglaterra, Escocia y Gales utilizan secuencias de esos mismos caracteres como modificadores de un símbolo base. Microsoft ajustó su firma para excluir esos casos y encontró después mensajes reenviados por investigadores, pasarelas de seguridad y pruebas internas. El proceso ilustra por qué una expresión regular aislada no basta para etiquetar un correo como ataque.
La recomendación concreta es normalizar antes de tokenizar, conservar una representación que permita auditar lo eliminado y comparar la vista humana con la cadena que analizará el modelo. Los sistemas también deberían decidir explícitamente qué hacer con caracteres no representables en campos sensibles. Si se borran sin registro, se pierde evidencia; si se conservan sin normalización, pueden fracturar palabras; si se muestran de forma indiscriminada, degradan mensajes legítimos.
La defensa de IA encontró un problema clásico
La firma nació para localizar inyecciones cruzadas de instrucciones en Defender for Office 365. Terminó revelando spam financiero tradicional. Esa transferencia demuestra que las fronteras entre seguridad de agentes y seguridad del correo son porosas: una técnica publicada para estudiar modelos puede adoptarse rápidamente contra clasificadores convencionales. También desaconseja desplegar asistentes que lean correo sin una capa que elimine o señale contenido invisible antes de exponerlo al modelo.
Para administradores europeos, el hallazgo no exige bloquear Unicode ni abandonar servicios comerciales. Exige comprobar cómo el proveedor normaliza texto, si registra el bloque U+E0000–U+E007F y si permite buscar retrospectivamente. Microsoft dice que la mayoría de los mensajes fueron marcados por protecciones en capas. La conclusión operativa es que una defensa robusta no debe depender de que los bytes, los tokens y la imagen que ve el usuario describan exactamente la misma cadena.
