Microsoft ha detectado una campaña de phishing a gran escala en la que los atacantes insertan caracteres invisibles del bloque Unicode Tags (U+E0000–U+E007F) dentro de términos financieros en el cuerpo de los correos para eludir la detección basada en palabras clave y expresiones regulares. La campaña generaba hasta 2,37 millones de mensajes al día en el punto álgido de su actividad, utilizando la infraestructura de la plataforma de marketing legítima ActiveCampaign para el envío de las comunicaciones. Esta técnica, conocida anteriormente en el contexto de ataques contra modelos LLM mediante instrucciones ocultas, se aplica por primera vez a esta escala para evadir los filtros de correo tradicionales. Las organizaciones que utilizan filtrado basado en firmas y palabras clave deben implementar la normalización Unicode antes de la fase de análisis del contenido.
Mecanismo de ofuscación: cómo funciona la inserción de caracteres invisibles
El bloque Unicode Tags (U+E0000–U+E007F) contiene “copias en la sombra” de caracteres ASCII imprimibles: por ejemplo, U+E0041 corresponde a “A”, U+E0061 a “a”. Estos caracteres se diseñaron originalmente para el marcado de idioma y actualmente se consideran obsoletos. Su propiedad clave es que no se muestran en las interfaces de usuario.
Los atacantes insertan el carácter U+E0020 (un espacio invisible del bloque Tags) dentro de palabras financieras de alta señal. Por ejemplo, la palabra «funding» se convierte en «fun⟨U+E0020⟩ding». Para el destinatario del correo, la palabra se ve completamente normal; sin embargo, para un detector que busca la cadena continua «funding» o aplica una expresión regular sin tener en cuenta los puntos de código invisibles insertados, la secuencia de bytes deja de contener la palabra clave buscada.
Como señala Microsoft Security Research, la diferencia fundamental con respecto a los ataques clásicos de homoglifos es la elección específica del bloque Tags y su escala sin precedentes: no se trata de correos puntuales y dirigidos, sino de millones de mensajes diarios. Además, los caracteres invisibles se utilizan precisamente como separadores dentro de las palabras, y no para codificar mensajes ocultos o instrucciones para modelos de IA.
Microsoft clasificó el comportamiento observado según la matriz MITRE ATT&CK T1566 (Phishing) y T1027 (Obfuscated Files or Information).
Cronología y alcance de la campaña
La fase activa con uso de caracteres Unicode Tags comenzó de forma repentina: el 8 de febrero de 2026, la telemetría de Microsoft registró en torno a 21 000 mensajes, y ya el 9 de febrero más de 1,3 millones. La fase de alto volumen se prolongó aproximadamente tres meses y descendió bruscamente después del 15 de mayo de 2026, aunque se observó actividad residual al menos hasta mediados de junio.
La campaña siguió un patrón semanal muy definido: prácticamente sin actividad durante los fines de semana y reanudación completa del envío los lunes. Los volúmenes diarios en días laborables oscilaron entre 1 y 2,37 millones de mensajes. Microsoft señala el 26 de febrero de 2026 como la fecha de máximo volumen, aunque en los gráficos de ese mismo informe se registra un pico de más de 2,3 millones de mensajes el 11 de febrero; estos datos pueden corresponder a métricas de medición distintas.
En el momento de inicio de la fase activa, el 9 de febrero, Microsoft había identificado 148 dominios de remitente con temática financiera. En total, la campaña utilizó cientos de dominios desechables generados a partir de un vocabulario limitado de términos financieros.
Infraestructura e indicadores de compromiso
Los correos se enviaban a través de la infraestructura de ActiveCampaign, lo que provocaba que todos los enlaces salientes se redirigieran mediante los dominios de seguimiento de clics de la plataforma: acemlnd[.]com y activehosted[.]com. Aproximadamente el 92% del tráfico medido se originaba en el bloque de red 173.236.20[.]0/24, asociado a esta plataforma de marketing. Microsoft subraya que este bloque forma parte de una infraestructura legítima compartida y solo puede utilizarse como elemento de correlación, no como indicador de malicia independiente.
El uso de una plataforma de marketing reputada, con una reputación de IP ya establecida y autenticación configurada (SPF, DKIM), permitía que el tráfico de phishing se asemejara a una newsletter de marketing legítima, lo que complicaba considerablemente el filtrado basado en reputación.
Top 10 de dominios de remitente por número de detecciones:
- guardiangrowthfunding[.]com
- digitalcapitalboost[.]com
- thebusinessloanexpress[.]com
- yourlocfunding[.]com
- advancefundingboost[.]com
- guardiancapitalway[.]com
- harboradvancefunding[.]com
- unitedfundingwave[.]com
- directcapitalboost[.]com
- onlinedirectfinance[.]com
Los cebos imitaban ofertas de préstamos comerciales, líneas de crédito y financiación anticipada, patrones típicamente asociados con actividades fraudulentas o con la recopilación de credenciales. Según Microsoft, la campaña está relacionada con una operación de phishing más amplia documentada anteriormente por el equipo Fortra FIRE en septiembre de 2025, dirigida a recopilar información financiera y empresarial detallada de solicitantes de créditos de la Administración de Pequeñas Empresas de Estados Unidos (SBA). Cabe señalar que esta relación se basa en la correlación de infraestructura y contenido realizada por Microsoft; no se ha identificado un grupo concreto.
Evaluación del impacto
Las organizaciones más expuestas son aquellas que dependen de filtrado de correo electrónico basado en coincidencia exacta de palabras clave o expresiones regulares sin normalización Unicode previa. Las pequeñas y medianas empresas del sector financiero, así como las compañías que trabajan con productos de crédito, son objetivos prioritarios de esta campaña.
Microsoft afirma que más del 99% de los mensajes fueron bloqueados por una protección multinivel: filtrado reputacional de remitentes, IP y dominios; clasificación basada en aprendizaje automático; detección de suplantación de marca y verificación de autenticación. Sin embargo, el mero hecho de que fuera necesaria una protección en múltiples capas para interceptarlos subraya que ningún nivel de filtrado por sí solo fue suficiente.
ActiveCampaign declaró que sus sistemas de moderación de contenido procesan los mensajes con caracteres Unicode invisibles del mismo modo que sus equivalentes no ofuscados, y que el uso intensivo de esta técnica se considera una “señal sospechosa”. Esta es una declaración de la propia empresa, no el resultado de una verificación independiente.
Recomendaciones prácticas
- Normalización Unicode en la entrada: Microsoft recomienda eliminar o normalizar los puntos de código Unicode invisibles antes de aplicar reglas basadas en palabras clave, firmas, expresiones regulares, filtros de spam y detectores de phishing. Esta es la medida clave: sin ella, cualquier regla basada en keywords puede ser eludida.
- Detección de la presencia de caracteres Tags: añada reglas que detecten la presencia de caracteres del rango U+E0000–U+E007F en el cuerpo del correo. El uso legítimo de este bloque es extremadamente infrecuente; su mera presencia ya constituye una anomalía.
- Correlación con patrones de dominios: combine la detección de caracteres Tags con el análisis de dominios de remitente de temática financiera y la presencia de dominios de tracking de plataformas de marketing en los enlaces.
- Filtrado multinivel: no dependa de un único método de detección. Combine análisis reputacional, clasificación mediante ML, verificación de autenticación (SPF/DKIM/DMARC) y filtrado de contenido.
- Supervisión de IOC: añada los dominios de remitente enumerados a las listas de bloqueo y configure alertas para el tráfico procedente del bloque de red 173.236.20[.]0/24 en combinación con temática financiera.
Esta campaña demuestra un vector concreto: técnicas desarrolladas para atacar modelos de IA mediante instrucciones ocultas se están adaptando para evadir los mecanismos tradicionales de protección del correo electrónico. La acción prioritaria para los equipos de seguridad es incorporar una fase de normalización Unicode en la cadena de procesamiento del correo entrante antes de aplicar cualquier regla de detección basada en el contenido. Las organizaciones que utilicen Microsoft Defender for Office 365 deben asegurarse de que las políticas de filtrado multinivel estén activas y actualizadas.
