¿Qué es un ataque homógrafo? Dominios con caracteres similares
Un ataque homógrafo —también llamado ataque IDN homógrafo— consiste en registrar un dominio que parece idéntico al de una marca legítima, pero que contiene caracteres de otro alfabeto (cirílico, griego, armenio…) que son visualmente indistinguibles de las letras latinas. El resultado: una URL que el ojo humano no puede diferenciar de la original.
¿Por qué es posible este ataque?
Los nombres de dominio internacionalizados (IDN) permiten usar caracteres Unicode en las URL para admitir idiomas no latinos. Internamente, estos dominios se convierten a un formato ASCII llamado punycode: por ejemplo, раурal.com (con "р" cirílica) se registra como xn--aypal-uye.com. El navegador puede mostrar la versión legible en Unicode, ocultando el origen real.
Caracteres que imitan a las letras latinas
Estos son los sustitutos más usados en ataques reales:
- а cirílica → parece la a latina
- е cirílica → parece la e latina
- о cirílica → parece la o latina
- р cirílica → parece la p latina
- с cirílica → parece la c latina
- ν griega → parece la v latina
Combinando uno o varios de estos caracteres con letras latinas reales se obtiene un dominio que parece legítimo pero apunta a otro servidor.
Ejemplos con marcas españolas
Un atacante podría registrar dominios como:
bbvа.es— la "а" final es cirílica, no latinasаntander.com— la "а" inicial es cirílicaсоrreos.es— "с" y "о" son caracteres cirílicos
A simple vista, y especialmente en móviles, estos dominios son indistinguibles de los originales.
Cómo los navegadores gestionan el punycode
Los navegadores modernos aplican heurísticas para decidir si mostrar la versión Unicode o la punycode de un dominio:
- Si el dominio mezcla caracteres de varios scripts (latino + cirílico), Chrome y Firefox suelen mostrar el punycode (
xn--…) como señal de advertencia. - Si todos los caracteres pertenecen a un único script no latino, el navegador puede mostrar la versión legible en Unicode sin advertencias visibles.
- La política varía entre navegadores y versiones, por lo que no se puede confiar únicamente en esta protección.
Cómo verificar un dominio sospechoso
- Copie la URL y péguela en un editor de texto plano: algunos editores revelan caracteres raros con una representación diferente.
- Use 2check.click — el analizador detecta caracteres homógrafos y muestra la forma punycode real del dominio.
- Si el navegador muestra
xn--en la barra de direcciones, desconfíe: es la señal de que el dominio contiene caracteres no ASCII. - Busque la empresa en un motor de búsqueda y compare el dominio oficial con el del enlace que recibió.
Diferencia con el typosquatting
El typosquatting utiliza errores tipográficos con letras latinas reales. Los ataques homógrafos son más sofisticados: la URL puede ser visualmente perfecta y, aun así, apuntar a un dominio completamente diferente.
Compruebe un enlace sospechoso
Pegue una URL, mensaje o código QR en 2check.click para analizar el destino, redirecciones, antigüedad del dominio y otras señales de phishing.
Preguntas frecuentes
¿Puedo ver a simple vista si un dominio usa caracteres homógrafos?
Generalmente no. Esa es precisamente la peligrosidad de este ataque: los caracteres cirílicos o griegos implicados son visualmente idénticos a las letras latinas. Necesita una herramienta que analice el código Unicode subyacente, como 2check.click.
¿Qué es exactamente el punycode?
Es el sistema de codificación ASCII que el sistema de DNS usa internamente para los dominios con caracteres Unicode. Por ejemplo, münich.de se convierte en xn--mnich-kva.de. Los registradores de dominios aceptan tanto la forma Unicode como la punycode al registrar.
¿Los ataques homógrafos son frecuentes?
Son menos comunes que el typosquatting convencional porque requieren más planificación, pero se han documentado campañas reales contra bancos y servicios de pago. Su eficacia reside en que la mayoría de usuarios no los detecta sin herramientas especializadas.
¿Los certificados HTTPS protegen contra estos ataques?
No. Una página con HTTPS y candado solo garantiza que la conexión está cifrada. El certificado puede haberse emitido para el dominio homógrafo fraudulento igual que para uno legítimo. El candado no prueba que el sitio sea auténtico.
¿Cómo puedo protegerme en el día a día?
Acceda a los sitios importantes desde favoritos guardados, nunca desde enlaces de correo o SMS. Si recibe un enlace inesperado de su banco u otro servicio, verifíquelo con 2check.click antes de abrirlo.