Imagina que haces clic en un enlace que parece llevarte a Google.
La página tiene el mismo aspecto de siempre.
El logotipo es correcto. Los colores coinciden. El formulario de acceso parece legítimo.
Incluso la dirección de la web parece familiar.
Pero hay un detalle que puede pasar completamente desapercibido:
no estás en la web original.
Estás en una página creada para parecerse a ella.
Esta técnica se conoce como ataque homógrafo y aprovecha una característica de los dominios de Internet que puede resultar sorprendentemente fácil de explotar: algunos caracteres de diferentes alfabetos pueden parecer prácticamente idénticos a nuestros ojos.
El navegador, sin embargo, los interpreta como caracteres diferentes.
Y ahí empieza el problema.
¿Qué es un ataque homógrafo?
Un ataque homógrafo es una técnica de suplantación que utiliza caracteres visualmente similares para crear una dirección web que se parece a otra legítima.
El término procede de “homógrafo”, porque los caracteres utilizados pueden parecer iguales o casi iguales aunque técnicamente sean diferentes.
Por ejemplo, observa estas dos direcciones:
google.com
gооgle.com
A primera vista pueden parecer exactamente la misma.
Sin embargo, en la segunda dirección algunas letras pueden pertenecer al alfabeto cirílico en lugar del latino.
Para una persona que mira rápidamente la pantalla, la diferencia puede ser prácticamente invisible.
Para un ordenador, no.
¿Cómo puede ocurrir esto?
Internet utiliza Unicode para representar una enorme cantidad de caracteres de diferentes idiomas.
Eso permite escribir dominios utilizando alfabetos distintos del latino.
El problema aparece cuando determinados caracteres de esos alfabetos tienen una apariencia muy parecida a otros caracteres que ya conocemos.
Una “a” latina, por ejemplo, puede parecerse a determinados caracteres de otros sistemas de escritura.
Lo mismo puede ocurrir con letras como:
- a
- e
- o
- c
- p
- x
- y
Dependiendo del alfabeto utilizado, pueden existir caracteres visualmente muy similares.
Esto permite construir dominios que, vistos rápidamente, pueden parecer pertenecientes a una empresa conocida.
El truco está en que tus ojos y el navegador no ven exactamente lo mismo
Aquí está la clave.
Cuando tú lees una dirección web, estás interpretando visualmente los caracteres.
El navegador, en cambio, trabaja con su representación técnica.
Por eso dos direcciones pueden parecer iguales sin serlo.
Además, los nombres de dominio internacionalizados pueden representarse mediante Punycode, un sistema que convierte determinados caracteres Unicode a una representación compatible con el sistema de nombres de dominio.
Por ejemplo, un dominio internacionalizado puede aparecer técnicamente con una dirección que comienza por:
xn--
Eso no significa que todos los dominios que utilizan Punycode sean maliciosos.
De hecho, existen muchos usos legítimos de dominios internacionalizados.
El problema aparece cuando esa tecnología se utiliza para imitar una dirección legítima y engañar al usuario.
¿Por qué es peligroso un ataque homógrafo?
Porque el atacante no necesita convencerte de que estás visitando una web completamente desconocida.
Puede intentar conseguir algo mucho más sencillo:
hacerte creer que estás en una web que ya conoces.
Imagina que recibes un correo electrónico que te pide iniciar sesión.
Pulsas el enlace.
La página tiene exactamente el aspecto que esperabas.
Introduces tu usuario y contraseña.
Y acabas de entregar tus credenciales al atacante.
Dependiendo del objetivo, una página falsa también podría intentar obtener otros datos.
Algunas consecuencias pueden ser:
- Robo de credenciales.
- Suplantación de identidad.
- Acceso a cuentas.
- Robo de información personal.
- Fraude financiero.
- Acceso a servicios profesionales.
- Distribución de malware.
Por eso el ataque homógrafo suele aparecer relacionado con campañas de phishing.
La dirección falsa es una parte del engaño.
Un ejemplo sencillo
Volvamos al ejemplo anterior.
Dirección legítima:
google.com
Dirección potencialmente fraudulenta:
gооgle.com
Visualmente, la diferencia puede ser difícil de detectar.
Pero si determinadas letras pertenecen a otro alfabeto, el dominio no es el mismo.
Ese pequeño detalle puede ser suficiente para que una persona introduzca sus datos en una página controlada por otra persona.
Y aquí aparece una de las grandes lecciones de seguridad digital:
no todo lo que parece idéntico es idéntico.
¿Cómo detectar un ataque homógrafo?
No existe un único método infalible, pero hay varios hábitos que pueden reducir considerablemente el riesgo.
1. Comprueba el dominio completo
No te quedes únicamente con la primera parte de la dirección.
Mira el dominio real y comprueba exactamente dónde estás.
Por ejemplo, no es lo mismo:
ejemplo.com
que:
ejemplo.com.otrodominio.com
En el segundo caso, el dominio real es otrodominio.com.
2. Desconfía de los enlaces inesperados
Si recibes un correo, mensaje o notificación que te pide iniciar sesión urgentemente, no pulses automáticamente.
Especialmente si el mensaje utiliza frases como:
“Tu cuenta será bloqueada”.
“Confirma tus datos ahora”.
“Detectamos una actividad sospechosa”.
La urgencia es una de las herramientas favoritas del phishing.
3. Accede desde la fuente oficial
Si necesitas entrar en tu banco, correo electrónico, redes sociales o cualquier otro servicio importante, una opción sencilla es escribir la dirección manualmente o utilizar un favorito que hayas guardado previamente.
Así reduces la posibilidad de terminar en una página falsa a través de un enlace manipulado.
4. Utiliza un gestor de contraseñas
Un gestor de contraseñas puede ayudarte a detectar que el dominio actual no coincide con el dominio asociado a las credenciales guardadas.
Esto es especialmente útil porque añade una comprobación que no depende exclusivamente de que tú seas capaz de detectar visualmente una dirección sospechosa.
5. No ignores las advertencias del navegador
Los navegadores modernos incorporan diferentes mecanismos de protección frente a sitios peligrosos.
Si aparece una advertencia de seguridad, no la ignores simplemente porque la página tenga un aspecto conocido.
Una web puede parecer perfectamente legítima y seguir siendo peligrosa.
¿El candado HTTPS significa que una web es segura?
No.
Este es otro error bastante común.
Que una web utilice HTTPS significa que la conexión entre tu navegador y el servidor está cifrada y que el certificado utilizado es válido para ese dominio.
Pero HTTPS no significa que el propietario de la web sea una empresa legítima.
Un sitio creado para realizar phishing también puede utilizar HTTPS.
Por eso no basta con mirar el candado.
Hay que comprobar también a qué dominio estamos conectados.
¿Los navegadores pueden detectar estos ataques?
Sí, los navegadores modernos incorporan diferentes mecanismos para reducir determinados riesgos asociados a los dominios internacionalizados y a las direcciones potencialmente engañosas.
Además, algunos navegadores aplican reglas específicas para decidir cuándo mostrar un dominio utilizando caracteres Unicode y cuándo utilizar una representación ASCII o Punycode.
Sin embargo, ninguna tecnología sustituye completamente la atención del usuario.
Los atacantes cambian sus técnicas.
Los dominios cambian.
Y los métodos de ingeniería social también evolucionan.
Por eso la mejor defensa combina tecnología con buenos hábitos.
¿Qué tiene que ver esto con el diseño y el branding?
A primera vista, probablemente pienses que un ataque homógrafo no tiene nada que ver con el diseño gráfico.
Pero existe una conexión interesante.
Cuando una persona entra en una web, no analiza únicamente la dirección.
También reconoce colores, logotipos, tipografías, fotografías, botones, estructura y otros elementos visuales.
Todo ese conjunto crea una sensación de familiaridad.
Precisamente por eso las páginas de phishing suelen intentar copiar la identidad visual de una marca conocida.
El objetivo no es únicamente engañar al usuario con una URL.
También es conseguir que todo lo que aparece después de hacer clic confirme esa primera impresión.
Una marca reconocible puede ayudar a detectar una imitación
Aquí conviene hacer una distinción importante.
Una identidad visual bien construida no evita un ataque homógrafo.
Tampoco sustituye a las medidas de seguridad.
Sin embargo, una marca coherente puede facilitar que una persona detecte que algo no encaja.
Imagina que una empresa utiliza siempre determinados colores, una tipografía concreta y un estilo visual muy reconocible.
Si de repente recibes una página que utiliza una versión extraña del logotipo, textos mal escritos o elementos que no corresponden con su comunicación habitual, puede aparecer una señal de alerta.
La identidad visual no es un antivirus.
Pero la coherencia también ayuda a reconocer lo auténtico.
La confianza también se diseña
Esto nos lleva a una idea que va más allá de los ataques homógrafos.
Cuando diseñamos una identidad, no estamos creando únicamente algo bonito.
Estamos construyendo elementos que permiten reconocer una marca.
Un logotipo.
Una paleta de color.
Una tipografía.
Un tono visual.
Una forma de presentar la información.
Todos esos elementos ayudan a crear reconocimiento.
Y cuando una marca está bien definida, las imitaciones pueden resultar más fáciles de detectar porque existen más elementos con los que comparar.
Por supuesto, la seguridad debe apoyarse en tecnología, autenticación, protección de dominios y buenas prácticas.
Pero el diseño también participa en la construcción de confianza.
No mires solamente la web. Mira dónde estás.
La próxima vez que recibas un enlace para iniciar sesión en una plataforma, no te limites a comprobar si la página “parece correcta”.
Mira la dirección.
Comprueba el dominio.
Desconfía de los mensajes que intentan meterte prisa.
Y, sobre todo, recuerda que una URL puede parecer legítima sin serlo.
Un solo carácter puede cambiar completamente el destino.
Conclusión
Un ataque homógrafo aprovecha una característica muy particular de Internet: la posibilidad de utilizar caracteres visualmente similares en los nombres de dominio.
Para el usuario, dos direcciones pueden parecer prácticamente idénticas.
Para el navegador, pueden ser dominios completamente diferentes.
Por eso, antes de introducir una contraseña o cualquier otro dato sensible, merece la pena dedicar unos segundos a comprobar dónde estamos realmente.
No se trata de vivir desconfiando de cada enlace.
Se trata de desarrollar un hábito sencillo:
mira la URL antes de confiar en la web.
Porque en Internet, una letra puede ser suficiente para cambiarlo todo.