Un ataque homográfico es una técnica de phishing que sustituye una o varias letras de un dominio por caracteres de otros alfabetos que, a simple vista, son idénticos. La «a» latina y la «а» cirílica, por ejemplo, se dibujan igual en casi todas las tipografías, pero para un ordenador son caracteres distintos. El resultado es una dirección que el usuario lee como la de su banco o su proveedor de correo y que, en realidad, lleva a un sitio controlado por el atacante.
Las claves del ataque homográfico en 30 segundos
- Qué es: un dominio falso que imita a uno legítimo usando letras de otros alfabetos visualmente iguales, como la «а» cirílica en lugar de la «a» latina.
- Cómo se delata: internamente el dominio se convierte a un formato que empieza por xn--, el llamado Punycode.
- Qué persigue: robar credenciales, cometer fraude con correos de empresa suplantados o distribuir malware.
- Qué protege: marcadores, gestores de contraseñas, llaves de acceso o FIDO2 y formación continua, más que la vista del usuario.
No es una técnica nueva, pero sigue siendo eficaz porque ataca el control que casi todo el mundo usa para decidir si un enlace es fiable: mirar la dirección. Y es precisamente ese control el que deja de servir.
Por qué dos letras iguales no son la misma letra
Desde 2003, los nombres de dominio pueden incluir caracteres de cualquier alfabeto gracias a los dominios internacionalizados (IDN, por sus siglas en inglés). Es lo que permite registrar direcciones con ñ, con tildes o escritas en árabe, chino o cirílico. Como la infraestructura del DNS solo entiende caracteres ASCII, esas direcciones se traducen a un formato llamado Punycode, que empieza siempre por xn--.
El problema es que Unicode, el estándar que recoge los caracteres de todos los alfabetos, incluye muchas letras que se parecen hasta confundirse. Si en apple.com se sustituye la «a» inicial (U+0061) por la «а» cirílica (U+0430), el usuario sigue leyendo apple.com, pero el navegador trabaja con xn--pple-43d.com, un dominio completamente distinto que cualquiera podría intentar registrar. Las sustituciones habituales no se limitan a otros alfabetos: también se juega con combinaciones como «rn» en lugar de «m», la «l» minúscula en lugar de la «I» mayúscula o el cero en lugar de la «O», una variante cercana al typosquatting.
El caso más conocido lo demostró en 2017 el investigador Xudong Zheng. Registró un dominio escrito íntegramente con letras cirílicas, xn--80ak6aa92e.com, que Chrome y Firefox mostraban entonces como apple.com sin ningún aviso.
Qué hacen ya los navegadores y por qué no basta
Aquella demostración obligó a los navegadores a endurecer sus políticas. Hoy, Chrome, Edge, Firefox y Safari muestran la dirección en formato xn-- cuando detectan mezclas sospechosas de alfabetos en un mismo nombre o dominios que se parecen demasiado a sitios muy visitados. Muchos registros, además, limitan qué combinaciones de caracteres se pueden registrar en cada dominio de primer nivel.
Esas defensas reducen el riesgo, pero no lo eliminan. Las reglas de cada navegador son distintas, no todas las aplicaciones aplican las mismas comprobaciones (clientes de correo, apps de mensajería o vistas previas en redes sociales pueden mostrar el texto «bonito») y el atacante no necesita engañar al navegador si consigue engañar al usuario en el texto del enlace o en el remitente de un correo. Por eso el ataque homográfico suele ir acompañado de otras técnicas de ingeniería social, igual que el phishing con códigos QR, que también esconde el destino real del enlace.
Los riesgos para una organización
El esquema se repite en tres pasos: el atacante registra el dominio con caracteres de otro alfabeto, lo envía como señuelo por correo, mensajería o redes sociales, y espera a que la víctima introduzca sus datos o descargue un archivo. En una empresa, las consecuencias habituales son el robo de credenciales corporativas, el fraude financiero mediante el compromiso del correo empresarial (BEC, en el que el atacante se hace pasar por un directivo o un proveedor para pedir pagos) y la distribución de malware desde una web que parece de confianza.
Medidas que sí funcionan
- No entrar desde enlaces no solicitados: para servicios sensibles, usar marcadores o escribir la dirección a mano.
- Revisar el dominio completo: si en algún momento aparece una dirección que empieza por xn--, hay que desconfiar.
- Usar un gestor de contraseñas: asocia cada credencial al dominio exacto y no la autocompleta en un dominio parecido, lo que convierte su silencio en una alarma.
- Activar MFA resistente al phishing: las llaves de acceso (passkeys) y las llaves FIDO2 están ligadas criptográficamente al dominio legítimo y no funcionan en uno falso. Los códigos por SMS o por aplicación, en cambio, se pueden capturar, como explicamos al hablar de cómo Evilginx roba la sesión aunque haya MFA.
- Filtrar el correo y vigilar dominios parecidos: los filtros pueden marcar enlaces con IDN sospechosos, y los servicios de monitorización de marca detectan registros que imitan el dominio propio.
- Formar al personal de forma continua: con ejemplos reales y simulaciones, no con una charla anual.
Para los usuarios particulares valen los mismos principios. Muchos de ellos aparecen también en la guía de INCIBE que repasamos para proteger la cuenta de correo electrónico, la puerta de entrada que estos ataques buscan con más frecuencia.
Encaje con la normativa
Estos controles no son solo buenas prácticas. La norma ISO/IEC 27002 incluye entre sus controles la concienciación, educación y formación en seguridad, y la seguridad de las comunicaciones y del correo, que una organización certificada en ISO/IEC 27001 debe gestionar. En la Unión Europea, la directiva NIS2 exige a las entidades afectadas medidas de gestión de riesgos que incluyen higiene cibernética, formación y el uso de autenticación multifactor cuando proceda. Fuera de Europa hay marcos similares, como la Ley Marco de Ciberseguridad 21.663 de Chile, que establece deberes de prevención de incidentes. En todos los casos, la conclusión es la misma: la confianza visual no es una medida de seguridad, y cada organización debería tener un procedimiento claro para comprobar enlaces sospechosos y comunicar los intentos.
Preguntas frecuentes
¿Qué es un ataque homográfico?
Una técnica de phishing que crea dominios falsos sustituyendo letras por caracteres visualmente idénticos de otros alfabetos, como la «а» cirílica en lugar de la «a» latina.
¿Qué significa que un dominio empiece por xn--?
Que contiene caracteres que no son ASCII y se ha convertido a Punycode. No siempre es malicioso, pero si aparece donde se esperaba un dominio conocido, es una señal de alarma.
¿Me protege el navegador de estos ataques?
En parte. Los navegadores muestran el formato xn-- cuando detectan mezclas sospechosas, pero sus reglas no cubren todos los casos ni todas las aplicaciones.
¿Qué medida protege mejor?
Las llaves de acceso y las llaves FIDO2, porque están ligadas al dominio legítimo y no funcionan en uno falso, junto con un gestor de contraseñas y el uso de marcadores.
