Ataque homográfico: cómo una letra cirílica puede suplantar a tu banco y cómo detectarlo
Mira estas dos direcciones: apple.com y аpple.com. ¿Ves la diferencia? Yo tampoco. Y ese es justo el problema. La primera es la web real. La segunda empieza con una «а» del alfabeto cirílico (el que se usa en ruso). A la vista es igual que nuestra «a», pero para el ordenador es otra letra con otro código. Con un truco así, alguien puede llevarte a una web falsa aunque la dirección te parezca perfecta.
Esta técnica tiene nombre: ataque homográfico (en inglés, IDN homograph attack). Hoy te explico cómo funciona por dentro, cómo llega a tu móvil por email, SMS o WhatsApp, qué otras letras se pueden falsificar y, sobre todo, cómo protegerte tú y tu empresa. Al final tienes un detector interactivo para analizar enlaces y un pequeño test.
1. Qué es un ataque homográfico
Al principio, los dominios de Internet solo admitían las letras inglesas de la «a» a la «z», los números y el guion. Para que cualquier persona del mundo pudiera tener un dominio en su idioma (con «ñ», acentos, caracteres árabes, chinos o cirílicos), se crearon los IDN (Internationalized Domain Names, nombres de dominio internacionalizados).
La idea es buena, pero tiene una consecuencia: en Unicode hay miles de caracteres y muchos se dibujan igual. La «a» latina, la «а» cirílica y la «α» griega son primas lejanas que comparten cara. Un homógrafo es eso: algo que se escribe (se ve) igual, pero es distinto.
No es lo mismo que el typosquatting clásico (por ejemplo g00gle.com con ceros o amazom.com). Esos se pueden detectar fijándose bien. En el homográfico no hay nada que ver. Por eso es tan peligroso.
2. Laboratorio: comprueba cualquier dominio
Escribe el dominio que quieras (tu banco, tu tienda, tu empresa…) o pulsa uno de los ejemplos. El laboratorio te muestra qué letras tienen una gemela en otro alfabeto, cómo quedaría una copia falsa y cómo la «ve» realmente el ordenador en Punycode. Todo se calcula en tu navegador: no se registra ni se visita ningún dominio.
Las variantes son ejemplos ilustrativos: se muestran como texto, sin enlace, y no deben visitarse. Que un dominio tenga muchas letras «gemelas» no significa que exista una copia, sino que es más fácil imitarlo.
3. A bajo nivel: bytes, Unicode y Punycode
Vamos al detalle técnico. Cada carácter tiene un punto de código Unicode, y al guardarse o enviarse se codifica en bytes (normalmente en UTF-8). Así se ven nuestras dos «a» por dentro:
La «a» latina
La «а» cirílica
El DNS, el sistema que traduce nombres a direcciones IP, sigue trabajando por debajo solo con caracteres ASCII. Para que un dominio con letras «raras» funcione, el navegador lo convierte con un algoritmo llamado Punycode. El resultado empieza siempre por xn--:
Y si el delincuente escribe todo el nombre con letras cirílicas (аррӏе.com), el dominio real es xn--80ak6aa92e.com. Es un dominio totalmente distinto de apple.com, con otro dueño y otro servidor.
4. A alto nivel: así se monta la estafa
Visto desde arriba, el ataque sigue siempre un ciclo parecido:
- Elegir la víctimaUn banco, una tienda online, una paquetería, Microsoft 365… o tu propia empresa.
- Registrar el gemeloCompra un dominio que se ve igual cambiando letras por homógrafos.
- Poner el candadoObtiene un certificado HTTPS válido. Hoy es gratis y automático.
- Clonar la webCopia el diseño, el logo y el formulario de acceso.
- Lanzar el ceboEmail, SMS, WhatsApp, redes sociales, códigos QR o anuncios.
- Recoger el botínUsuario, contraseña, código SMS/OTP, tarjeta… y te redirige a la web real para que no sospeches.
Y este es el viaje técnico de un solo clic, paso a paso:
5. Por dónde te llega: email, SMS, WhatsApp, QR…
El dominio falso no sirve de nada si nadie lo visita. Por eso siempre va acompañado de ingeniería social: un mensaje urgente que te empuja a pulsar sin pensar. Algunos ejemplos típicos (todos inventados):
Las señales de alarma son casi siempre las mismas: urgencia («antes de 24 h»), miedo («cargo no reconocido», «cuenta bloqueada»), cantidades pequeñas que «no merece la pena discutir» y un enlace como única salida. En el móvil todo es peor: la pantalla es pequeña, la barra de direcciones se recorta y vamos con prisa.
6. Qué letras se pueden falsificar
La «a» es solo el ejemplo famoso. Estas son algunas de las gemelas más usadas. La tabla no es completa: Unicode publica una lista oficial de caracteres «confundibles» (confusables, informe técnico UTS #39) con miles de entradas.
| Ves | Puede ser | Alfabeto | Código |
|---|---|---|---|
| a | а | Cirílico | U+0430 |
| e | е | Cirílico | U+0435 |
| o | о / ο / ө | Cirílico / Griego / Cirílico (o barrada) | U+043E · U+03BF · U+04E9 |
| p | р / ρ | Cirílico / Griego | U+0440 · U+03C1 |
| c | с | Cirílico | U+0441 |
| x | х | Cirílico | U+0445 |
| y | у / ү | Cirílico | U+0443 · U+04AF |
| i | і / ї | Cirílico (ucraniano) | U+0456 · U+0457 |
| j | ј | Cirílico | U+0458 |
| s | ѕ | Cirílico | U+0455 |
| h | һ | Cirílico | U+04BB |
| l | ӏ | Cirílico (palochka) | U+04CF |
| d | ԁ | Cirílico | U+0501 |
| v | ν | Griego (nu) | U+03BD |
| k | ƙ | Latín extendido (k con gancho) | U+0199 |
Y no hace falta Unicode para engañar. Ojo también con estos trucos «de toda la vida»:
- Letras que se juntan:
rnparecem(rnicrosoft) yvvparecew. - Números por letras:
0poro,1porloI. - Subdominios engañosos:
tubanco.es.verificacion-clientes.xyz. El dominio real es el último:verificacion-clientes.xyz. - La arroba trampa: en
https://tubanco.es@sitio-malo.xyz, todo lo que va antes de la@se ignora y vas asitio-malo.xyz.
7. Novedad 2026: ni el navegador te salva siempre
Los navegadores llevan años defendiéndose. Chrome, Edge y Firefox aplican reglas para decidir si muestran un dominio con sus letras Unicode o en su forma Punycode (xn--…). Por ejemplo, si mezclas letras latinas y cirílicas en el mismo nombre, muestran el xn-- para que veas que algo raro pasa. El problema es que es un juego del gato y el ratón:
- 2002 · Los investigadores Evgeniy Gabrilovich y Alex Gontmakher publican «The Homograph Attack» y describen el riesgo de los dominios internacionalizados.
- 2005 · Se demuestra un
paypal.comfalso con una «а» cirílica que los navegadores mostraban como el real. - 2017 · El investigador Xudong Zheng registra un
аррӏе.comescrito íntegramente en cirílico. Chrome, Firefox y Opera lo mostraban como «apple.com». Chrome 58 añadió una comprobación de dominios escritos enteros en un alfabeto que imita al latino. - 2019 · Se detecta phishing homográfico contra el Bank of Valletta con certificado TLS válido.
- Octubre 2026 · Ian Muscat y Leanne Briffa, de Have I Been Squatted, publican que caracteres poco comunes como la cirílica
ө(o barrada) y la latinaƙ(k con gancho) se saltan las comprobaciones de los navegadores basados en Chromium. Registraron 20 dominios de demostración que se muestran en Unicode, sin el avisoxn--. En el momento de publicarse, el fallo no constaba como corregido en la versión estable.
8. Detector de enlaces sospechosos
He preparado esta herramienta educativa para que lo compruebes por ti mismo. Pega una dirección (o pulsa un ejemplo) y te mostrará cada carácter, su alfabeto y cómo se ve el dominio en Punycode. Todo se analiza en tu navegador: no se envía nada a ningún servidor y no se abre ningún enlace.
Herramienta orientativa: un «sin indicios» no garantiza que una web sea segura. Ante la duda, no introduzcas datos.
9. Cómo protegerte
Si eres usuario (y para tu familia)
Si te escribe «tu banco», abre la app oficial o escribe tú la dirección. Guarda tus webs importantes en marcadores.
Bitwarden, 1Password, KeePassXC… Rellenan tus datos solo en el dominio exacto. Si no te los ofrece, para.
Están ligadas al dominio real. En una web gemela simplemente no funcionan.
Analiza el enlace en VirusTotal o urlscan.io. Si ves
xn-- donde no esperas, desconfía.about:config pon network.IDN_show_punycode en true y verás siempre el xn--.Ningún banco te obliga a actuar en 10 minutos por SMS. Llama al número oficial que tú ya conoces.
Qué medidas funcionan de verdad
Una valoración orientativa (mía, basada en la experiencia) de lo eficaz que es cada medida frente a este ataque en concreto:
Si gestionas la seguridad de una empresa
Aquí hablo ya como arquitecto de seguridad. Este ataque se combate por capas, y encaja de lleno en los marcos que usamos a diario:
| Control | Cómo aplicarlo | Herramientas | Referencia |
|---|---|---|---|
| Vigilar tu marca | Genera y vigila las variantes de tu dominio (homógrafos, typos, otros TLD) y pide la retirada (takedown) de las maliciosas. Registra de forma preventiva las más peligrosas. | dnstwist, URLCrazy, servicios de protección de marca | ISO 27001:2022 A.5.7 · NIST CSF 2.0 ID.RA |
| Transparencia de certificados | Monitoriza los certificados que se emiten con nombres parecidos al tuyo: suelen aparecer antes de la campaña. | crt.sh, Certstream, alertas CT | NIST CSF 2.0 DE.CM |
| Correo | Pasarela con análisis y reescritura de URLs, detección de suplantación y marcado de remitentes externos. SPF, DKIM y DMARC en p=reject para tu dominio. | Pasarelas de correo seguro, DMARC | ENS mp.s.1 · ISO 27001 A.8.23 |
| Filtrado web / DNS | Bloquea o pon en cuarentena los dominios recién registrados y los IDN (xn--) que tu negocio no necesita. | DNS protectivo, proxy, SWG | ISO 27001 A.8.23 · ENS mp.s.2 |
| Autenticación | MFA resistente a phishing (FIDO2/passkeys) en accesos críticos. El SMS y el OTP también se pueden robar en tiempo real. | Llaves FIDO2, passkeys, Windows Hello | ISO 27001 A.8.5 · NIST SP 800-63B |
| Concienciación | Formación práctica y simulacros de phishing que incluyan dominios homográficos, smishing y QR. | Plataformas de simulación de phishing | ISO 27001 A.6.3 · ENS mp.per.3 · NIST CSF PR.AT |
| Desarrollo seguro | Si tu aplicación muestra o acepta dominios o nombres de usuario, normaliza el Unicode y aplica las comprobaciones de confundibles y mezcla de alfabetos de Unicode UTS #39. | ICU SpoofChecker, librerías de confusables | OWASP ASVS (validación de entrada) |
10. Pon a prueba lo aprendido
Conclusión
El ataque homográfico nos recuerda algo incómodo: lo que ves en pantalla no siempre es lo que hay. Una sola letra de otro alfabeto basta para que una web falsa parezca la de tu banco, con su candado y todo. Y como acabamos de ver en 2026, ni los navegadores más modernos lo detectan siempre.
La buena noticia es que la defensa es sencilla si cambiamos el hábito: no entres desde enlaces que te llegan, usa la app oficial o tus marcadores, apóyate en un gestor de contraseñas y activa las passkeys. En la empresa, vigila tu marca, filtra el correo y forma a tu gente.
🔁 Si este artículo te ha sido útil, compártelo con tu familia y compañeros. Un minuto de lectura puede evitar una estafa.
Fuentes y lecturas recomendadas
- Chromium: política de visualización de IDN en Google Chrome
- Unicode UTS #39: Unicode Security Mechanisms (caracteres confundibles)
- The Register: dos caracteres abren nuevas posibilidades de typosquatting en Chromium (2026)
- Bitdefender Labs: ataque homográfico contra el Bank of Valletta con certificado TLS válido
- SecurityWeek: usuarios de Chrome y Firefox expuestos al phishing con dominios Unicode (2017)
Comentarios
Publicar un comentario