Durante décadas nos enseñaron una regla bastante sencilla para sobrevivir en Internet: mire cuidadosamente antes de hacer clic. Revise quién envió el mensaje, observe las palabras extrañas, desconfíe de enlaces sospechosos y preste atención a cualquier cosa que parezca fuera de lugar. El problema es que los atacantes están aprendiendo a esconderse precisamente donde nuestros ojos no pueden ayudarnos.
Una investigación publicada por Microsoft Security Research el 3 de septiembre de 2026 y posteriormente reportada por Ars Technica reveló que una campaña de phishing de gran volumen utilizó caracteres Unicode invisibles para intentar evadir determinados mecanismos de detección de correo. La técnica se conoce ampliamente como ASCII smuggling y había ganado notoriedad anteriormente dentro de otro territorio: los ataques de prompt injection contra sistemas de inteligencia artificial.
Lo verdaderamente interesante no es solamente que los delincuentes hayan descubierto otra forma de enviar spam. La verdad, todo parece indicar que estamos empezando a enfrentarnos a un problema bastante más profundo: una persona y una máquina pueden mirar aparentemente el mismo texto y, sin embargo, estar leyendo cosas diferentes tras bambalinas.
El truco comienza con algo que todos utilizamos diariamente: Unicode
Para entender el ataque no es necesario ser programadores. Basta recordar cómo funcionan los caracteres que aparecen en nuestras pantallas. Los computadores necesitan representar letras, números, símbolos, emojis y alfabetos provenientes de prácticamente todo el planeta. Unicode es el estándar que permite organizar buena parte de esa diversidad.
Dentro de ese gigantesco universo existen también caracteres que normalmente no vemos. Microsoft explica que una de las áreas utilizadas en estas técnicas es el bloque Unicode Tags y aunque muchos de esos caracteres no son representados visualmente por las interfaces habituales, aunque continúan existiendo dentro de la información que procesa el software.
Imagine entonces que alguien pudiera colocar una pequeña pieza transparente en medio de una palabra. Usted continuaría viendo prácticamente la misma palabra. Para un programa que intenta compararla exactamente contra una lista de términos sospechosos, sin embargo, podría tratarse de una cadena diferente. Ahí comienza el problema…
Usted ve “algo”; el filtro puede estar leyendo otra cosa
La campaña estudiada por Microsoft estaba relacionada con mensajes financieros de phishing y spam. Los investigadores encontraron caracteres invisibles insertados dentro de palabras que podían resultar relevantes para los mecanismos de detección. Microsoft ofrece un ejemplo muy sencillo: una palabra como “funding” podía llevar un carácter Unicode TAG SPACE invisible colocado entre sus letras.
Para la persona que recibe el correo, visualmente puede no haber nada extraordinario pero, para un sistema que busca una coincidencia literal, la cadena subyacente ya no necesariamente es la misma. Como dicen por ahí: ”El diablo está en los detalles” y ese pequeño detalle ayuda a entender por qué esta historia importa. Muchos ataques informáticos tradicionales intentan engañar a una persona. Aquí también se intenta aprovechar la diferencia entre la percepción humana y la representación computacional del contenido.
No se está ocultando necesariamente el mensaje frente al usuario. Se está intentando modificar lo que interpreta la máquina encargada de protegerlo. Lo sorprendente es que el truco se hizo famoso atacando inteligencia artificial
ASCII smuggling no es nuevo, ya había aparecido anteriormente hecho más de dos años, mostrando cómo determinados caracteres Unicode invisibles podían convertirse en una especie de canal oculto entre sistemas de inteligencia artificial. Una persona podía observar un contenido aparentemente normal mientras un modelo recibía información adicional que no resultaba visible en pantalla.
Eso resulta particularmente peligroso con los llamados ataques de “prompt injection” o “inyección indirecta de indcaciones”. Un agente de IA puede recibir instrucciones para leer una página web, resumir un correo o analizar un documento. El atacante introduce instrucciones ocultas dentro de ese contenido y espera que el modelo las interprete como órdenes.
El usuario quizá nunca las vea. La IA sí puede procesarlas. Y si ese agente tiene permisos para consultar información, utilizar herramientas o ejecutar acciones, una pequeña diferencia entre “lo que ve la persona” y “lo que procesa la máquina” adquiere consecuencias mucho mayores.
Esta vez el objetivo no era engañar directamente a la IA
Microsoft descubrió esta campaña precisamente mientras investigaba protecciones contra prompt injection en Microsoft Defender for Office 365. Pero al estudiar los mensajes detectados encontró algo inesperado: los atacantes no estaban utilizando esos caracteres para introducir órdenes ocultas destinadas a un asistente de IA. Los estaban colocando dentro de palabras relacionadas con los señuelos financieros para intentar romper coincidencias utilizadas por mecanismos de detección.
Técnicamente, Microsoft incluso hace una distinción interesante. Lo observado no era siempre un mensaje ASCII completo escondido dentro de Unicode, sino la inserción de caracteres invisibles provenientes del mismo bloque que popularizó el concepto de ASCII smuggling.
Puede parecer una diferencia académica, pero es importante para comprender correctamente la amenaza. No apareció mágicamente una nueva categoría de phishing. Lo que estamos viendo es una vieja dinámica de la ciberseguridad: los delincuentes toman una técnica creada o estudiada en un contexto y descubren que también funciona en otro.
Una técnica investigada porque podía esconder instrucciones frente a un modelo terminó siendo útil para una campaña tradicional de phishing. Microsoft señala precisamente que las técnicas de evasión desarrolladas o popularizadas durante la era de la IA pueden migrar hacia amenazas convencionales.
La IA no solamente está creando nuevas herramientas para defendernos y trabajar. También está ampliando el laboratorio donde atacantes e investigadores descubren nuevas maneras de manipular software.
El correo electrónico sigue siendo viejo, pero sus enemigos evolucionan
Resulta casi irónico que una técnica asociada con los modelos de lenguaje termine ayudando a atacar una tecnología tan antigua como el correo electrónico.
Llevamos décadas intentando solucionar spam y phishing. Aparecieron listas negras, reputación de dominios, análisis de enlaces, filtros estadísticos, Machine Learning y posteriormente modelos más sofisticados. Cada nueva defensa obliga a los atacantes a buscar una manera diferente de parecer normales.
Microsoft observó un aumento pronunciado de detecciones relacionadas con esta técnica desde el 9 de febrero de 2026, con actividad elevada durante aproximadamente tres meses laborales antes de caer considerablemente después de mediados de mayo. La compañía aclara además que la mayoría de los mensajes fueron identificados mediante sus protecciones por capas y no exclusivamente gracias a una regla específica de Unicode.
Eso último es importante. La historia no demuestra que los filtros modernos hayan quedado inútiles. Demuestra por qué depender de una sola señal resulta peligroso. Microsoft resume uno de los principios defensivos de una manera bastante clara: normalizar antes de buscar coincidencias.
Pero una buena defensa no debería detenerse allí. Los sistemas modernos necesitan combinar normalización con reputación del remitente y del dominio, análisis de URLs, comportamiento histórico, contenido, infraestructura utilizada para enviar el mensaje y otros indicadores.
La razón es bastante simple: si construimos una regla que diga “bloquee cualquier correo que contenga determinado carácter, los atacantes buscarán otro carácter. La lección es fundamental: seguridad no significa eliminar la diversidad del lenguaje para facilitarle la vida al filtro. Hay que distinguir entre un carácter legítimo y uno utilizado deliberadamente para ocultar información.
En un mundo de Unicode, automatización e inteligencia artificial existe una segunda capa que no necesariamente podemos observar: la representación que reciben las máquinas. Así las cosas, en esta próxima generación de Internet quizá ya no sea suficiente preguntarnos si podemos confiar en lo que estamos viendo. También tendremos que preguntarnos qué está viendo la máquina que nosotros no podemos ver.
