Módulo 01
#01 ¿Qué es un Ataque Homográfico?
DEFINICIÓN
Un ataque homográfico (Homograph Attack) es una forma de engaño visual que hace creer al usuario que está visitando un sitio web legítimo cuando en realidad está siendo dirigido a una página fraudulenta controlada por un atacante.
Se basa en el concepto de homógrafo: caracteres que parecen idénticos visualmente pero son completamente diferentes en su representación digital (distinto codepoint Unicode).
El atacante registra un dominio visualmente casi idéntico al objetivo y espera que el usuario no note la diferencia.
DOS GRANDES FAMILIAS
1. Ataques Homográficos Unicode / Punycode (IDN)
Usan caracteres de otros alfabetos (cirílico, griego, armenio) visualmente idénticos a letras latinas. El dominio se codifica como Punycode: xn--...
2. Ataques ASCII look-alike (tipográficos)
No usan Unicode. Usan combinaciones de caracteres ASCII visualmente parecidos: rn → m, l → I, 0 → O. Son 100% ASCII válidos, más difíciles de detectar.
Clave: HTTPS y el candado verde no garantizan que el dominio sea legítimo. Cualquiera puede obtener un certificado TLS para un dominio falso.
LO QUE VE EL USUARIO — DEMOSTRACIÓN VISUAL
SIMULACIÓN DE BARRA DE DIRECCIONES DEL NAVEGADOR
✅ SITIO LEGÍTIMO
🍎 Apple
❌ SITIO FALSO (Punycode)
🍎 Apple
⚠ Ambos sitios tienen candado 🔒 (HTTPS). Visualmente son idénticos. La única diferencia está en los bytes del dominio — invisible para el ojo humano sin inspección detallada.
EJEMPLOS BÁSICOS DE URL HOMOGRÁFICA
| URL Legítima | URL Maliciosa | Carácter sustituido | Tipo |
|---|---|---|---|
| amazon.com | amaz0n.com | 'o' → '0' (zero) | ASCII look-alike |
| paypal.com | paypal.com | 'a' latina → 'а' cirílica (U+0430) | IDN Homograph |
| microsoft.com | rnicrosoft.com | 'm' → 'rn' (dos chars ASCII) | ASCII tipográfico |
| google.com | googlе.com | 'e' latina → 'е' cirílica (U+0435) | IDN Homograph |
| paypal.com | paypaI.com | 'l' → 'I' mayúscula | ASCII look-alike |
Módulo 02
#02 Punycode: El Mecanismo Técnico
¿QUÉ ES PUNYCODE?
Punycode es un estándar de codificación (RFC 3492) que permite representar nombres de dominio con caracteres no-ASCII usando únicamente caracteres ASCII válidos. Es la tecnología que hace posibles los Nombres de Dominio Internacionalizados (IDN).
El DNS solo puede procesar caracteres ASCII. Cuando alguien registra un dominio como españa.com, el sistema lo convierte a Punycode: xn--espaa-rta.com. Todos los dominios Punycode comienzan con el prefijo xn--.
USO LEGÍTIMO DE PUNYCODE
| Dominio visible | Punycode real (DNS) |
|---|---|
| español.com | xn--espaol-zwa.com |
| münchen.de | xn--mnchen-3ya.de |
| 中文.com | xn--fiq228c.com |
| 日本語.jp | xn--wgv71a309e.jp |
| الإنترنت | xn--4gbrim.com |
Uso legítimo: dominios en idiomas no latinos para usuarios de todo el mundo.
USO MALICIOSO — IDN HOMOGRAPH ATTACK
| Dominio visual | Dominio legítimo | Punycode |
|---|---|---|
| аррӏе.com | apple.com | xn--80ak6aa92e.com |
| googlе.com | google.com | xn--googl-r7a.com |
| microsоft.com | microsoft.com | xn--microsft-n0g.com |
| раypal.com | paypal.com | xn--ypal-43d.com |
La diferencia es invisible: la 'a' en аррӏе es cirílica (U+0430), no latina.
FLUJO COMPLETO — IDN HOMOGRAPH ATTACK
1
Atacante — Preparación
Registra un dominio Punycode con caracteres cirílicos idénticos visualmente a un dominio real
Registra: xn--80ak6aa92e.com → se muestra como: аррӏе.com (todo cirílico)
▼
2
Atacante — Certificado TLS
Obtiene un certificado SSL/TLS válido para el dominio Punycode (Let's Encrypt o similar)
El candado 🔒 aparecerá en la barra del navegador — el usuario lo ve como señal de seguridad
▼
3
Distribución — Phishing
Envía emails de phishing con el enlace al dominio falso
Asunto: "Tu cuenta Apple ha sido comprometida. Verifica en: https://аррӏе.com/login"
▼
4
Filtro / WAF / Antispam
El filtro busca "apple.com" — no lo encuentra porque el dominio es Punycode
Busca: apple.com → No encontrado en xn--80ak6aa92e.com → ✅ PERMITIDO (falso negativo)
▼
5
Navegador — Decodificación
El navegador decodifica el Punycode y muestra el dominio visualmente
xn--80ak6aa92e.com → muestra: аррӏе.com (visualmente idéntico a apple.com)
▼
6
Víctima — Engaño completado
El usuario ve 🔒 аррӏе.com, cree que es legítimo, introduce sus credenciales
Resultado: credenciales robadas · acceso a cuenta comprometido · posible movimiento lateral
DIAGRAMAS DE CARACTERES COMPARTIDOS ENTRE ALFABETOS
Los caracteres en la zona de solapamiento son los más peligrosos: visualmente indistinguibles en pantalla pero con codepoints completamente diferentes.
Módulo 03
#03 Catálogo de Caracteres Homoglyphs
COMPARACIÓN VISUAL — ¿PUEDES VERLO?
🧪 Prueba: ¿Ves alguna diferencia entre los pares de caracteres de cada columna? Los de la izquierda son latinos, los de la derecha son de otros alfabetos.
a
LATINA
U+0061
≈
а
CIRÍLICA
U+0430
e
LATINA
U+0065
≈
е
CIRÍLICA
U+0435
o
LATINA
U+006F
≈
о
CIRÍLICA
U+043E
w
LATINA
U+0077
≈
ω
GRIEGA
U+03C9
En la mayoría de tipografías de pantalla (especialmente sans-serif) estos caracteres son completamente indistinguibles a simple vista.
TABLA COMPLETA DE CARACTERES MÁS USADOS EN ATAQUES
| Char visual | Unicode | Alfabeto | Sustituye a | Riesgo | Ejemplo de dominio |
|---|---|---|---|---|---|
| а | U+0430 | Cirílico | a (U+0061) | 🔴 CRÍTICO | аmazon.com |
| е | U+0435 | Cirílico | e (U+0065) | 🔴 CRÍTICO | googlе.com |
| о | U+043E | Cirílico | o (U+006F) | 🔴 CRÍTICO | micrоsoft.com |
| р | U+0440 | Cirílico | p (U+0070) | 🔴 CRÍTICO | раypal.com |
| с | U+0441 | Cirílico | c (U+0063) | 🟡 ALTO | faсebook.com |
| т | U+0442 | Cirílico | t (U+0074) | 🟡 ALTO | youтube.com |
| х | U+0445 | Cirílico | x (U+0078) | 🟡 ALTO | eхample.com |
| ω | U+03C9 | Griego | w (U+0077) | 🟡 ALTO | tωitter.com |
| ν | U+03BD | Griego | v (U+0076) | 🟡 ALTO | νisa.com |
| ạ | U+1EA1 | Latin ext. | a (U+0061) | 🔵 MEDIO | gmạil.com |
| ι | U+03B9 | Griego | i (U+0069) | 🔵 MEDIO | linkedιn.com |
| ․ | U+2024 | Puntuación | . (U+002E) | 🟡 ALTO | linkedin․com |
TABLA AMPLIADA DE DOMINIOS DE ATAQUE CONOCIDOS
| Dominio visual (Unicode) | Dominio legítimo | Char engañoso | Unicode | Punycode | Sector |
|---|---|---|---|---|---|
| аррӏе.com | apple.com | а р р ӏ е (cirílico) | U+0430 U+0440 U+0440 U+04CF U+0435 | xn--80ak6aa92e.com | Tech |
| аpple.com | apple.com | а (cirílico) | U+0430 | xn--pple-43d.com | Tech |
| googlе.com | google.com | е (cirílico) | U+0435 | xn--googl-r7a.com | Tech |
| microsоft.com | microsoft.com | о (cirílico) | U+043E | xn--microsft-n0g.com | Corporate |
| раypal.com | paypal.com | р а (cirílico) | U+0440 U+0430 | xn--ypal-43d.com | Banca |
| tωitter.com | twitter.com | ω (griego) | U+03C9 | xn--titter-i2e.com | Social |
| fаcebook.com | facebook.com | а (cirílico) | U+0430 | xn--fcebook-43d.com | Social |
| instаgram.com | instagram.com | а (cirílico) | U+0430 | xn--instgram-43d.com | Social |
| gmạil.com | gmail.com | ạ (diacrítico) | U+1EA1 | xn--gmil-6q5a.com | |
| аmazon.com | amazon.com | а (cirílico) | U+0430 | xn--mazon-43d.com | E-Commerce |
| youтube.com | youtube.com | т (cirílico) | U+0442 | xn--youube-4fg.com | Media |
| linkedin․com | linkedin.com | ․ (punto Unicode) | U+2024 | xn--linkedin-m2f.com | Corporate |
Módulo 04
#04 ASCII Look-Alike: El Ataque Más Peligroso
⚠ Atención: Los ataques ASCII look-alike son los más peligrosos en la práctica porque son 100% ASCII válidos, no disparan alertas IDN, pueden tener HTTPS y son casi imposibles de detectar en tipografías pequeñas o móviles.
EL CASO rnicrosoft.com
| Característica | Valor |
|---|---|
| Tipo | Phishing ASCII (no Unicode) |
| Técnica | Homoglifo tipográfico rn→m |
| ¿Aplica Punycode? | ❌ NO — es 100% ASCII |
| ¿Puede tener HTTPS? | ✅ SÍ — certificado válido |
| ¿Dispara alerta IDN? | ❌ NO |
| Riesgo | 🔥 MUY ALTO |
¿Por qué funciona?
- En muchas tipografías sans-serif, rn y m son visualmente muy similares
- El cerebro humano lee las primeras y últimas letras de las palabras, no cada carácter individualmente
- En pantallas pequeñas (móvil), la diferencia es prácticamente nula
- No hay ningún mecanismo técnico que alerte de este ataque — depende 100% de la atención del usuario
Este dominio puede aparecer en emails de "Seguridad de Microsoft", "Alerta de cuenta", "Microsoft 365". El usuario ve microsoft.com y confía.
TABLA AMPLIADA DE DOMINIOS ASCII LOOK-ALIKE
| Dominio falso | Dominio real | Engaño visual | Tipo | Sector |
|---|---|---|---|---|
| rnicrosoft.com | microsoft.com | rn → m | Tipográfico | Corporate |
| paypaI.com | paypal.com | I mayúscula → l minúscula | Look-alike | Banca |
| faceb00k.com | facebook.com | 00 → oo | Numérico | Social |
| gmaiI.com | gmail.com | I mayúscula → l | Look-alike | |
| micros0ft.com | microsoft.com | 0 → o | Numérico | Corporate |
| arnazon.com | amazon.com | rn → m | Tipográfico | E-Commerce |
| l1nkedin.com | linkedin.com | l1 → li | Mixto | Corporate |
| rnybank.com | mybank.com | rn → m | Tipográfico | Banca |
| lnstagram.com | instagram.com | l → I (confusión) | Look-alike | Social |
| nnetflix.com | netflix.com | n doble → n single | Omisión | Media |
🟡 Importante: Todos estos dominios son 100% ASCII válidos, pueden tener certificado HTTPS y NO disparan alertas de tipo IDN en ningún navegador.
COMPARATIVA VISUAL: TIPOGRAFÍAS Y RIESGO
Módulo 05
#05 Casos Reales y Escenarios de Ataque
CASO: APPLE 2017
Uno de los ejemplos más documentados. El dominio xn--80ak6aa92e.com usaba caracteres completamente cirílicos que se mostraban como аррӏе.com en Chrome y Firefox de la época.
El atacante obtuvo un certificado SSL válido para el dominio Punycode, lo que añadía el candado verde y eliminaba cualquier señal visual de alerta.
Impacto: Usuarios que introducían sus credenciales de Apple ID, contraseñas e incluso datos de pago en el sitio falso.
Respuesta: Chrome y Firefox actualizaron sus heurísticas para mostrar la versión Punycode (xn--...) cuando detectan mezcla de alfabetos.
CASO: STEAM 2017
La plataforma de videojuegos Steam fue objetivo de un esquema de phishing Punycode a gran escala. Los atacantes creaban URLs que parecían pertenecer a la comunidad oficial de Steam o a intercambios de items.
Los usuarios recibían ofertas de intercambio con links a steаmcommunity.com (con la 'а' cirílica).
Impacto: Robo de credenciales, acceso a cuentas con bibliofecas de juegos valoradas en miles de euros, reventa de cuentas y items en mercados grises.
Escenario típico: Item de alto valor → oferta de intercambio → link de login falso → credenciales robadas → cuenta vaciada.
ESCENARIO REAL: PHISHING MICROSOFT 365 (PASO A PASO)
1
El usuario recibe un email
Asunto: "⚠ Actividad sospechosa detectada en su cuenta Microsoft"
De: security@rnicrosoft.com | Para: usuario@empresa.com
Hemos detectado un acceso no autorizado. Verifique su cuenta inmediatamente.
▼ El usuario hace clic en el enlace
2
Enlace en el email
La URL parece legítima: https://rnicrosoft.com/security-check
🔒 https://rnicrosoft.com/security-check
Certificado válido · HTTPS · aspecto profesional
▼ El navegador carga la página
3
Página clonada perfectamente
Clon pixel-perfect del portal de login de Microsoft 365
Logo oficial · Tipografía correcta · Formulario de credenciales
Sección "Seguridad" con aspecto oficial
▼ El usuario introduce sus credenciales
4
Credenciales enviadas al atacante
Username + Password → Servidor del atacante. Redirige a Microsoft real.
POST → atacante-server.com/collect?u=usuario&p=contraseña
→ 302 redirect → login.microsoft.com (usuario no nota nada)
▼ Consecuencias
5
Impacto — Business Email Compromise (BEC)
Acceso completo a correo, OneDrive, Teams, SharePoint — movimiento lateral en la empresa
Correos · Documentos confidenciales · Contactos · Movimiento lateral
Fraude financiero BEC · Ransomware · Espionaje corporativo
| Factor | Por qué funciona |
|---|---|
| 📖 Lectura rápida | El cerebro autocorrige y lee "microsoft" aunque sea "rnicrosoft" |
| 🖋️ Tipografías sans-serif | Las usadas en email ocultan la diferencia entre rn y m |
| 📱 Pantalla pequeña | En móvil, la URL es más difícil de leer con atención |
| 🔒 HTTPS | El candado genera falsa sensación de seguridad |
| 😩 Fatiga del usuario | Múltiples emails diarios → menos tiempo para verificar |
| 😱 Urgencia artificial | "Tu cuenta ha sido comprometida" presiona a actuar rápido |
Módulo 06 — Laboratorio
#06 Lab: Generador de Dominios Homográficos
🧪 Objetivo: Experimenta generando dominios homográficos para comprender cómo los atacantes los construyen. Este conocimiento es clave para saber qué detectar y cómo defenderse.
⚡ GENERADOR DE HOMOGLYPHS INTERACTIVO
Introduce un nombre de dominio legítimo. El generador sustituirá automáticamente caracteres latinos por sus equivalentes homoglyphs de otros alfabetos y mostrará el resultado en Punycode.
// El resultado aparecerá aquí
🔄 CONVERSOR PUNYCODE ↔ UNICODE INTERACTIVO
Convierte entre la representación visual (Unicode) y la representación técnica (Punycode) de un dominio. Pega cualquier dominio sospechoso para ver su forma real.
// Conversión aparecerá aquí
🔍 INSPECTOR DE CARACTERES INTERACTIVO
Analiza cada carácter de una cadena y muestra su codepoint Unicode, nombre oficial y si es sospechoso de ser un homoglyph.
// Análisis carácter a carácter
Módulo 07 — Laboratorio
#07 Lab: Detector de Dominios Sospechosos
🛡️ DETECTOR DE PHISHING VISUAL INTERACTIVO
Introduce cualquier URL o dominio para analizarlo en busca de indicios de ataque homográfico: caracteres no-ASCII, mezcla de alfabetos, similitud con dominios conocidos, variantes ASCII look-alike.
// Análisis aparecerá aquí
🎯 QUIZ VISUAL — ¿LEGÍTIMO O FALSO? PRÁCTICA
Se te mostrará un dominio. Decide si es legítimo o podría ser un ataque. Practica tu capacidad de detección.
DOMINIO A EVALUAR
?
// Elige una respuesta
Aciertos: 0/0
Módulo 08
#08 Medidas de Defensa y Mitigación
PARA USUARIOS
Leer la URL letra a letra en sitios críticos
Especialmente en login de bancos, correo, redes sociales. No confiar en la lectura rápida.
Usar gestores de contraseñas
Un password manager solo autocompleta si el dominio coincide EXACTAMENTE — no lo hará con el dominio falso.
Acceder a servicios críticos solo desde marcadores
Guarda el enlace legítimo una vez verificado y úsalo siempre. No hagas clic en links de emails.
Desconfiar de rn, lI, 0O en dominios
Patrones típicos de ASCII look-alike. Si ves estas combinaciones, verifica con atención.
Verificar el certificado (detalles, no solo el candado)
Haz clic en el candado → "Información del certificado". Verifica que el Common Name coincide exactamente.
Pegar URLs sospechosas en un conversor de Punycode
Si la URL contiene xn-- al pegarla, es Punycode. Verifica a qué dominio corresponde realmente.
0 / 6 verificado
PARA EMPRESAS Y DESARROLLADORES
Registro defensivo de variantes
Registrar dominios look-alike propios: rn-, l→I, 0→o, versiones Punycode de la marca con homoglyphs comunes.
Monitorización de dominios similares
Herramientas: dnstwist, URLcrazy, PhishTank. Alertas automáticas si se registran dominios parecidos.
MFA obligatorio en cuentas críticas
Reduce el impacto si las credenciales son robadas — el atacante no puede acceder sin el segundo factor.
Normalización Unicode en validación de inputs
Aplicar NFKC normalize en emails/dominios antes de validar. Detecta homoglyphs conocidos.
Formación específica en homoglyphs ASCII
Los ataques ASCII look-alike (rn→m) no tienen solución técnica automática — requieren formación de usuarios.
SPF + DKIM + DMARC estrictos
Reduce el éxito de emails phishing que usen tu dominio. DMARC policy: reject previene spoofing directo.
0 / 6 verificado
CÓDIGO — VALIDACIÓN SEGURA DE DOMINIOS
JAVASCRIPT — DETECCIÓN DE HOMOGLYPHS
// Mapa de homoglyphs conocidos → su equivalente ASCII
const HOMOGLYPH_MAP = {
'\u0430': 'a', // а cirílica → a latina
'\u0435': 'e', // е cirílica → e latina
'\u043E': 'o', // о cirílica → o latina
'\u0440': 'p', // р cirílica → p latina
'\u0441': 'c', // с cirílica → c latina
'\u0442': 't', // т cirílica → t latina
'\u03C9': 'w', // ω griega → w latina
'\u03BD': 'v', // ν griega → v latina
'\u1EA1': 'a', // ạ latino extendido → a
'\u2024': '.', // ․ unicode → punto
};
function detectHomoglyphs(domain) {
const findings = [];
const normalized = domain.normalize('NFKC');
// Verificar carácter a carácter
for (let i = 0; i < domain.length; i++) {
const char = domain[i];
const code = char.codePointAt(0);
// Fuera del rango ASCII básico (>127)
if (code > 127) {
findings.push({
char, code: 'U+' + code.toString(16).toUpperCase().padStart(4,'0'),
ascii_equiv: HOMOGLYPH_MAP[char] || '?',
index: i
});
}
}
// Comprobar similitud con dominios conocidos tras normalización
const normalized_domain = domain.split('')
.map(c => HOMOGLYPH_MAP[c] || c).join('')
.toLowerCase();
return { findings, normalized_domain, is_suspicious: findings.length > 0 };
}
// Uso:
const result = detectHomoglyphs('googlе.com');
console.log(result.is_suspicious); // true
console.log(result.normalized_domain); // 'google.com'
PYTHON — DETECCIÓN CON confusables + dnstwist
# pip install confusables unicodedata2 dnstwist
import unicodedata
from confusables import is_confusable
def detect_homograph(domain: str) -> dict:
findings = []
for i, char in enumerate(domain):
code = ord(char)
if code > 127:
name = unicodedata.name(char, 'DESCONOCIDO')
confusable = is_confusable(char, preferred_aliases=['latin'])
findings.append({
'char': char,
'index': i,
'unicode': f'U+{code:04X}',
'name': name,
'confusable_with': confusable
})
# Normalizar NFKC para comparar con dominios conocidos
normalized = unicodedata.normalize('NFKC', domain).lower()
return {
'original': domain,
'normalized': normalized,
'findings': findings,
'is_suspicious': len(findings) > 0
}
# Generar variantes look-alike para monitorización
# dnstwist --registered --json example.com
HERRAMIENTAS DE DETECCIÓN Y MONITORIZACIÓN
| Herramienta | Tipo | Función | Uso |
|---|---|---|---|
| dnstwist | CLI | Genera variantes de un dominio y comprueba cuáles están registradas | Monitorización proactiva |
| URLcrazy | CLI | Genera variantes typosquatting y look-alike | Red team / Blue team |
| confusables (Python) | Librería | Detecta caracteres Unicode confusables según Unicode.org | Validación en código |
| unidecode (Python) | Librería | Convierte Unicode a ASCII equivalente detectando substituciones | Normalización |
| PhishTank | Web | Base de datos colaborativa de URLs de phishing verificadas | Consulta de URLs |
| VirusTotal | Web/API | Análisis de URLs y dominios contra múltiples motores | Verificación URL |
| Whois + crt.sh | Web | Verificar datos de registro y certificados de un dominio | Investigación OSINT |
| Punycode Converter | Web | Convertir entre Punycode y Unicode visualmente | Verificación manual |
Módulo 09 — Evaluación
#09 Quiz de Conocimiento
📝 Instrucciones: 10 preguntas para evaluar tu comprensión del módulo. Una sola respuesta correcta por pregunta.