Microsoft ha detectado una campaña masiva de phishing que emplea caracteres Unicode invisibles para camuflar palabras clave y esquivar los filtros de seguridad del correo electrónico. La técnica, bautizada como ASCII smuggling, llegó a mover más de 2,3 millones de mensajes diarios a finales de febrero, coincidiendo con una oleada de ofertas financieras fraudulentas que se coló en bandejas de entrada de todo el mundo.
Los investigadores de Microsoft Security Research han descrito cómo los atacantes adaptaron un truco que hasta ahora servía para atacar modelos de inteligencia artificial. Insertan caracteres del bloque Unicode Tags entre las letras de palabras como «funding» o «credit»: el término sigue siendo legible para cualquiera de nosotros al leerlo en pantalla, pero los sistemas de seguridad basados en listas de palabras clave dejan de reconocerlo y permiten que el correo pase de largo.
El ASCII smuggling traslada un truco de la IA al phishing
El ASCII smuggling consiste en introducir códigos invisibles dentro de palabras legítimas para alterar su estructura digital sin tocar su apariencia. Hasta hace poco, esta técnica se reservaba para inyectar instrucciones ocultas a modelos de lenguaje; ahora los atacantes la trasladan al phishing financiero para fragmentar términos y esquivar las alarmas automáticas de nuestro correo.
En la campaña detectada, los responsables colaban estos caracteres invisibles en palabras relacionadas con ofertas de crédito y financiación. Un filtro que busca la palabra exacta «funding» no la encuentra si está dividida por un código invisible, aunque a nosotros nos aparezca intacta en la pantalla. De ahí que estos correos maliciosos lleguen a Outlook o Gmail sin ser detenidos en la primera criba automática, y que solo salten las alarmas cuando entran en juego otras señales de seguridad ajenas al simple análisis de texto.
Los envíos alcanzaron 2,37 millones de correos diarios
La actividad de esta red se disparó el 9 de febrero de 2026, cuando pasó de 21.000 mensajes a más de 1,3 millones en una sola jornada. El volumen se mantuvo en niveles críticos durante unos tres meses y alcanzó un máximo de 2,37 millones de envíos diarios a finales de ese mes.
La campaña general había arrancado antes de ese pico y, según Microsoft, sigue activa aunque ya no depende en exclusiva de este método de ofuscación. La frecuencia de los envíos descendió en mayo, aunque la telemetría de la compañía confirma que la operación no se ha detenido del todo, lo que sugiere que quienes están detrás pueden recurrir a otras vías para mantener el alcance de sus mensajes.
Microsoft Defender frena la mayoría de estos correos
Pese a la sofisticación del ASCII smuggling para esquivar los filtros de palabras clave, las protecciones modernas no dependen solo de ese método. Microsoft asegura que Microsoft Defender para Office 365 ha bloqueado la mayoría de estos correos gracias a mecanismos de protección en capas que analizan otras señales del envío, más allá del propio texto del mensaje.
Esta capa adicional de análisis explica por qué, aunque el ASCII smuggling logra camuflar palabras clave, la mayoría de estos mensajes no llega a las bandejas de entrada. Aun así, ninguna protección es infalible, y los correos que consiguen pasar suelen imitar comunicaciones bancarias o de plataformas de financiación para ganarse la confianza de quien los recibe.
Para quienes recibís este tipo de correos, la recomendación no cambia respecto a otras campañas de phishing: conviene desconfiar de las ofertas financieras no solicitadas, comprobar siempre la URL oficial antes de introducir cualquier dato y no compartir contraseñas, códigos de verificación ni información bancaria en respuesta a un mensaje de correo electrónico.