2026-10-13
Los investigadores Ian Muscat y Leanne Briffa, de Have I Been Squatted, identificaron que el carácter cirílico ө (usado en kazajo, mongol y tártaro) y la letra latina con gancho ƙ (empleada en hausa y karai‑karai) pueden combinarse para registrar dominios que, en Unicode, aparecen idénticos a marcas conocidas, como aррӏө[.]com o oƙta[.]com, mientras su representación en Punycode revela la verdadera diferencia.
Chromium se protege mediante dos capas principales: la función SafeToDisplayAsUnicode, que ejecuta siete comprobaciones basadas en una lista interna de caracteres visualmente similares, y la función GetSimilarTopDomain(), que compara un "esqueleto" del dominio (sin diacríticos) con una lista de unos 8.500 sitios populares. El carácter ө no está en esa lista de caracteres similares, por lo que la primera capa se elude; la letra ƙ no lleva acento, así que pasa al esqueleto como una "k" con una marca combinante, evitando que la segunda capa detecte la suplantación. Además, el sistema de advertencias Safety Tips solo activa alertas para cambios de un solo carácter o intercambios adyacentes, lo que deja fuera dominios como аррӏө[.]com o oƙta[.]com.
Para medir el alcance del fenómeno, los investigadores analizaron la lista de ICANN de dominios .com: aproximadamente 167 millones en total, de los cuales alrededor de 733.509 son IDN (almacenados en Punycode). Al sustituir los caracteres no ASCII por sus equivalentes ASCII, hallaron cerca de 162.000 pares de dominios con apariencia similar. Señalan que Chrome 148 ya había bloqueado los caracteres rompedores ҏ y ӿ, y que Chrome 154, lanzada al canal estable el 22 de septiembre de 2026, añadió ө, ї y ү a la lista de caracteres considerados en SafeToDisplayAsUnicode.
Qué significa para una pyme colombiana y cucuteña: Actualice los navegadores Chromium de todos los equipos a la versión 154 o superior (disponible desde septiembre de 2026) para que las comprobaciones SafeToDisplayAsUnicode incluyan el carácter ө y reduzca el riesgo de typosquatting; además, habilite la visualización de URLs en Punycode mediante extensiones de seguridad o configuraciones empresariales y revise periódicamente los registros de dominios similares a su marca.