### Campaña de Phishing Emplea Caracteres Unicode para Suplantar Booking.com y Distribuir Malware

#### Introducción

En las últimas semanas se ha detectado una sofisticada campaña de phishing dirigida a usuarios y empresas del sector turístico, especialmente a clientes y socios de Booking.com. Esta campaña emplea técnicas avanzadas de homografía mediante el uso de caracteres Unicode, concretamente el carácter hiragana japonés «ん», para camuflar URLs maliciosas y hacerlas prácticamente indistinguibles de los enlaces legítimos. El objetivo final es la distribución de malware y la exfiltración de credenciales.

#### Contexto del Incidente

El uso de caracteres Unicode en ataques de homografía no es una técnica nueva, pero su sofisticación y eficacia han aumentado notablemente en los últimos años. Los cibercriminales buscan explotar la confianza y la falta de atención al detalle de los usuarios, así como inconsistencias en la renderización de caracteres entre navegadores y sistemas operativos. En esta campaña, los atacantes han focalizado sus esfuerzos en Booking.com, una plataforma con millones de usuarios y una elevada tasa de transacciones sensibles.

El incidente ha sido reportado por equipos de threat intelligence y varios SOCs europeos, que han registrado un incremento inusual de intentos de phishing dirigidos a cuentas corporativas y particulares, coincidiendo con la temporada alta de reservas hoteleras.

#### Detalles Técnicos

El vector principal del ataque es un correo electrónico de phishing cuidadosamente diseñado, que simula comunicaciones oficiales de Booking.com. La característica técnica más relevante es la manipulación de la URL mediante el carácter Unicode U+3093 (ん), perteneciente al silabario hiragana japonés. En ciertos sistemas y combinaciones de fuentes, este carácter puede interpretarse visualmente como una barra inclinada «/», haciendo que la URL maliciosa “booking.comんsecure-login” parezca, a simple vista, “booking.com/secure-login”.

El usuario, al hacer clic, es redirigido a un sitio de phishing alojado en dominios registrados recientemente, donde se emplean certificados SSL Let’s Encrypt válidos para incrementar el nivel de confianza. El sitio clonado solicita credenciales y, en algunos casos, fuerza la descarga de un payload malicioso. En análisis de sandbox, se ha identificado la distribución de troyanos bancarios y loaders como Emotet y Ursnif, ambos con capacidades de persistencia y movimiento lateral.

**Indicadores de Compromiso (IoC):**
– Dominios con caracteres Unicode similares a «/»
– Certificados SSL emitidos por Let’s Encrypt en las últimas 48 horas
– Descarga de ejecutables disfrazados de archivos PDF o HTML
– Hashes SHA256 asociados a variantes recientes de Emotet y Ursnif

**TTPs MITRE ATT&CK:**
– TA0001 (Initial Access): Spearphishing Link
– T1566.002 (Phishing: Spearphishing Link)
– T1204.002 (User Execution: Malicious File)
– T1082 (System Information Discovery)

#### Impacto y Riesgos

El impacto de la campaña se mide tanto en la potencial exfiltración de datos personales y credenciales como en la exposición a infecciones de malware avanzado. Se estima que, en los primeros días de la campaña, más de 5.000 usuarios han sido redirigidos a enlaces de phishing, con una tasa de éxito estimada del 12%. Las empresas del sector turístico y hotelero son especialmente vulnerables, ya que una brecha podría implicar sanciones severas bajo el Reglamento General de Protección de Datos (GDPR) y, para entidades críticas, bajo la directiva NIS2.

Los riesgos principales incluyen:
– Compromiso de cuentas corporativas y personales de Booking.com
– Instalación de troyanos bancarios y ransomware
– Uso de infraestructuras comprometidas para campañas posteriores (bancos, proveedores, clientes)
– Daño reputacional y pérdida de confianza de clientes

#### Medidas de Mitigación y Recomendaciones

Para mitigar el riesgo asociado a este tipo de ataques, los expertos recomiendan:

– Configurar filtros de correo para detectar y bloquear caracteres Unicode sospechosos en URLs.
– Actualizar soluciones antimalware y EDR con las últimas firmas relacionadas con Emotet, Ursnif y otras amenazas asociadas.
– Implementar políticas de autenticación multifactor (MFA) para cuentas sensibles.
– Monitorizar logs de acceso y alertar sobre patrones de login inusuales desde dominios similares o con Unicode.
– Realizar campañas de concienciación interna sobre phishing avanzado, especialmente para departamentos de reservas y atención al cliente.
– Revisar y reforzar las políticas de gestión de incidentes y respuesta ante brechas de datos, alineadas con GDPR y NIS2.

#### Opinión de Expertos

Analistas de threat intelligence de grandes consultoras de ciberseguridad, como Mandiant y Kaspersky, advierten que el abuso de Unicode en campañas de phishing es una tendencia al alza. “La sofisticación y el bajo coste de registro de dominios con caracteres internacionales hacen que los controles tradicionales de filtrado de URLs resulten insuficientes”, señala José Manuel Ríos, analista principal de amenazas. “La formación continua y la detección basada en comportamiento serán clave para mitigar estos riesgos emergentes”.

#### Implicaciones para Empresas y Usuarios

Para las empresas, especialmente aquellas reguladas bajo GDPR y NIS2, el impacto de una brecha causada por phishing puede ser devastador. Las multas por exposición de datos personales llegan hasta el 4% de la facturación global anual, además de los costes asociados a la recuperación y el daño reputacional. Es fundamental reforzar los procesos de validación de correos y enlaces, así como actualizar las políticas de gestión de incidentes para incluir este tipo de amenazas.

Los usuarios deben extremar la precaución, comprobar siempre la legitimidad de las URLs y desconfiar de enlaces recibidos por correo, incluso si parecen provenir de fuentes fiables.

#### Conclusiones

La utilización de caracteres Unicode para suplantar URLs legítimas representa una amenaza real y creciente, capaz de sortear muchos controles tradicionales y afectar gravemente tanto a particulares como a organizaciones. La combinación de técnicas de homografía, phishing dirigido y distribución de malware avanzado como Emotet y Ursnif subraya la necesidad de una vigilancia constante, actualización de herramientas de defensa y formación especializada para todos los actores del ecosistema digital.

(Fuente: www.bleepingcomputer.com)