Cadenas de redirección explicadas: cómo los atacantes ocultan destinos finales
Una cadena de redirección (redirect chain) es una secuencia de redirecciones automáticas que llevan a un usuario desde la URL original hasta el destino final, pasando por una o más URLs intermedias. En el web normal, las redirecciones son habituales y útiles. En el phishing, son una herramienta clave para ocultar el destino malicioso.
¿Cómo funcionan las redirecciones?
Cuando un navegador solicita una URL, el servidor puede responder con un código de estado de redirección en lugar del contenido de la página:
- 301 Moved Permanently: El recurso se ha movido de forma permanente a otra URL.
- 302 Found (redirección temporal): El recurso está temporalmente en otra URL.
- Meta refresh: Una etiqueta HTML en la página indica al navegador que cargue otra URL después de un breve intervalo.
- Redirección JavaScript: Un script ejecutado en el navegador redirige a otra URL.
El navegador sigue estas instrucciones automáticamente, generalmente sin mostrar ninguna advertencia. Si hay varias redirecciones encadenadas, el usuario pasa por todas sin verlas.
Ejemplo de cadena de redirección legítima
Las cadenas legítimas son frecuentes en marketing digital y en migraciones de sitios web:
bit.ly/promo2024→empresa.com/landing-page→tienda.empresa.com/oferta
Cada salto tiene un propósito técnico o de negocio comprensible.
¿Por qué los atacantes usan cadenas de redirección?
Los atacantes construyen cadenas deliberadamente largas o complejas por varias razones:
Eludir filtros de seguridad
Los filtros antiphishing de correo analizan el primer enlace del mensaje. Si ese primer enlace apunta a un dominio con buena reputación —por ejemplo, un servicio de acortamiento, una plataforma de marketing por correo o incluso una URL de un open redirect en un sitio legítimo— el filtro lo deja pasar. El destino malicioso real está varias redirecciones más adelante.
Aumentar la dificultad de análisis
Un analista de seguridad que inspeccione manualmente el primer enlace puede no rastrear todos los saltos intermedios, especialmente si alguno de ellos requiere parámetros específicos o responde diferente según el país del visitante.
Separar la infraestructura
Si el dominio de phishing final es detectado y bloqueado, el atacante puede actualizar el último salto sin cambiar el enlace que envió en el correo. El primer enlace sigue funcionando y llevando a las víctimas al nuevo destino malicioso.
Ejemplo de cadena de phishing típica
click.mailing-service.com/track?id=xyz→ servicio de tracking legítimo- →
docs.google.com/uc?export=download&id=abc→ servicio legítimo de Google usado como relay - →
secure-paypal-verify.xyz/login→ página de phishing real
El filtro de correo ve solo el primer enlace, que pertenece a un servicio de mailing conocido, y no bloquea el mensaje.
Señales de alerta en una cadena de redirección
- Más de tres saltos antes de llegar al destino final.
- Uno o más saltos a través de dominios desconocidos o con nombres genéricos.
- El destino final tiene un dominio recién registrado (pocos días o semanas de antigüedad).
- El destino final no coincide con la marca o empresa mencionada en el mensaje original.
- Uno de los saltos intermedios es un open redirect en un sitio conocido.
Cómo sigue 2check.click la cadena completa
2check.click realiza solicitudes HEAD (sin descargar el contenido de la página) siguiendo cada redirección hasta llegar al destino final. Muestra todos los saltos intermedios, el dominio final, su antigüedad, y una puntuación de riesgo para cada hop y para el destino en conjunto.
Compruebe un enlace sospechoso
Pegue una URL, mensaje o código QR en 2check.click para analizar el destino, redirecciones, antigüedad del dominio y otras señales de phishing.
Preguntas frecuentes
¿Toda redirección es sospechosa?
No. Las redirecciones son técnicamente normales y aparecen en casi cualquier sitio web. Lo sospechoso es una cadena larga que pasa por dominios desconocidos antes de llegar al destino, o un destino final que no corresponde al remitente del mensaje.
¿Cuántas redirecciones son normales?
Los servicios legítimos suelen tener una o dos redirecciones como máximo. Más de cinco saltos, especialmente a través de dominios desconocidos, es una señal de alerta significativa.
¿Un plugin del navegador puede seguir toda la cadena?
Muchos plugins de seguridad solo analizan el primer enlace o muestran la URL a la que lleva el siguiente salto, no el destino final de toda la cadena. 2check.click sigue activamente todos los saltos de la cadena.
¿Qué es un open redirect y por qué aparece en cadenas de phishing?
Un open redirect es una función de redirección en un sitio web legítimo que acepta como parámetro cualquier URL de destino. Los atacantes la aprovechan para que un salto en la cadena sea un dominio con buena reputación. Más información: Cómo detectar cadenas de redirección.