Detector de caracteres engañosos

Una letra en pantalla es un número por debajo

Los ordenadores guardan el texto como números llamados puntos de código. La “a” latina minúscula es U+0061. La “а” cirílica minúscula es U+0430. Las fuentes dibujan las dos con la misma forma, así que tus ojos no pueden distinguirlas, pero para el sistema de nombres de dominio son tan distintas como “a” y “z”. Unicode define más de 150 000 caracteres en más de 160 escrituras, y muchos se parecen mucho a letras latinas, o son idénticos a ellas.

Durante décadas, los nombres de dominio se limitaron a letras ASCII, dígitos y guiones. Los nombres internacionalizados llegaron después, y la regla en la red nunca cambió. Un nombre con otros caracteres se convierte a una forma ASCII que empieza por xn--, conocida como punycode. münchen.de viaja como xn--mnchen-3ya.de. Un nombre escrito con letras cirílicas que se parecen a “apple” viaja como xn--80ak6aa92e.com, y pertenece a quien lo registró.

Ese truco se llama ataque homográfico. Los navegadores se defienden en la barra de direcciones mostrando la forma xn-- cuando un nombre mezcla escrituras. Los programas de correo, las aplicaciones de chat, los archivos PDF y los códigos QR impresos casi nunca se molestan.

Qué comprueba el detector

Empieza por encontrar el nombre del host dentro de lo que pegaste, sea un enlace completo, una dirección de correo o un dominio suelto. Después ejecuta estas pruebas en tu navegador:

Escritura de cada carácter

Una etiqueta que mezcla latín con cirílico, griego, armenio, cheroqui, lisu, georgiano o copto se marca en rojo. También una etiqueta escrita por completo en una de esas escrituras cuando cada letra tiene un gemelo latino. El latín mezclado con chino, japonés o coreano es un uso normal y no se señala.

Tabla de parecidos

Unos 180 caracteres conocidos por imitar una letra latina, un dígito o un signo de puntuación, además de formas de letra de ancho completo y matemáticas. Los puntos, barras y guiones que no son los verdaderos van en rojo, porque desplazan el límite del dominio.

Caracteres invisibles y de dirección

Espacios y uniones de ancho cero, guiones suaves y los controles bidireccionales. U+202E, la anulación de derecha a izquierda, hace que invoice[U+202E]fdp.exe se muestre como “invoiceexe.pdf”.

Parecido con una marca

El nombre se reduce a lo que ve un lector con prisa: parecidos convertidos a latín, acentos eliminados, 0 leído como o, 1 como l, rn como m, vv como w, cl como d. Esa forma reducida se compara con unos 95 de los nombres que más imita el phishing: grandes bancos de Norteamérica y Europa, servicios de pago, empresas de paquetería, oficinas de impuestos, cuentas de correo y de streaming.

Estructura de la dirección

Una parte de usuario antes de @ en un enlace (https://paypal.com@example.net/ va a example.net), un dominio de marca usado como subdominio de otro, una dirección IP suelta.

Cómo leer el resultado

El resumen tiene cuatro contadores: escrituras presentes, caracteres parecidos, caracteres invisibles y la marca a la que se parece el nombre, si la hay. Debajo, “What you see, what it is” muestra el mismo nombre de cuatro maneras:

• Mostrado: tal como aparece, con los caracteres sospechosos resaltados y el dominio registrable en negrita.
• Forma técnica: el punycode que el navegador pide de verdad.
• Leído con prisa: la forma reducida que se usa para comparar con las marcas.
• Dominio que cuenta: el dominio registrable, la parte que alguien tuvo que comprar. Todo lo que queda a su izquierda depende de su dueño, así que paypal.com.secure-login.net es una página de secure-login.net.

Después, la tabla de caracteres da cada carácter con su punto de código y su escritura. El rojo marca los parecidos y los caracteres invisibles. El amarillo marca las marcas combinantes y los caracteres de control. El azul es solo informativo, para una letra latina con acento o una letra de otra escritura usada sola.

El parecido con una marca tiene cuatro grados. Tres de ellos son rojos: la misma grafía reducida, una grafía a una letra de distancia (dos para nombres de diez letras o más) y un dominio de marca real usado como prefijo. Un nombre de marca que simplemente está contenido en un dominio más largo es amarillo, porque revendedores y socios lo hacen por motivos honestos.

Límites de una comprobación de caracteres

El detector juzga cómo se escribe un nombre, no el sitio que hay detrás. secure-account-verify.com no contiene ningún carácter tramposo ni ninguna marca, así que pasa limpio aunque sea una trampa evidente. Para la reputación, usa la consulta de sitios peligrosos.

La lista de marcas es corta a propósito. Un banco regional o una tienda pequeña no figuran en ella, así que sus imitaciones solo se detectan cuando usan letras extranjeras o caracteres invisibles. Los nombres de marca muy cortos (tres o cuatro letras) solo se comparan como etiqueta completa. Si no, estaríamos señalando palabras corrientes que casualmente los contienen.

Un nombre también puede quedar señalado y ser honesto. Empresas reales registran dominios en cirílico o en griego para personas que leen esos idiomas. Lo que debes comprobar es si la escritura encaja con el remitente y con el idioma del mensaje.