¿Por qué no viste que ese mensaje era falso? Las letras impostoras

Esta mañana me llegó un mensaje en la página de Facebook del blog. Decía "URGENTE: Acción requerida — Notificación de infracción de políticas", con el tono exacto de un aviso de Meta, y me daba 24 horas para apelar antes de que restringieran mi página.

Como sospeché de él, hice algo que casi nadie hace: en lugar de leerlo, lo conté. Escribí veinte líneas de código que revisan el mensaje carácter por carácter y preguntan, para cada uno, qué número tiene asignado por dentro. El resultado me dejó frío.

De las 871 letras del mensaje, 515 no eran letras latinas. Eran cirílicas y griegas. El 59 % del texto estaba escrito en un alfabeto que yo no sé leer, y aun así yo lo leí sin tropezar una sola vez. Además, escondidos entre las palabras, había 892 caracteres invisibles: uno cada dos caracteres, en promedio. Un texto de 1.944 caracteres que llevaba casi mil fantasmas dentro.

La pregunta apareció de inmediato: ¿cómo puede un texto estar escrito con letras que no son las que ves, sin que ningún ojo humano pueda notarlo?

¿Qué es una letra para un computador?

Un computador no sabe qué es una "e". Solo sabe contar. Así que hace lo único que puede hacer: le asigna un número a cada símbolo y guarda ese número.

Piensa en una lista enorme, numerada, donde alguien fue apuntando todos los símbolos que la humanidad usa para escribir. La "a" latina es la número 97. La "b" es la 98. Esa lista tiene nombre, Unicode, y hoy contiene 154.998 símbolos: el alfabeto latino, el cirílico, el griego, el árabe, los caracteres chinos, los emojis, símbolos matemáticos, escrituras que ya nadie usa.

Cuando escribes "hola", tu teléfono no guarda cuatro letras. Guarda cuatro números. Y cuando ese mensaje llega a mi pantalla, mi computador toma esos números, busca en la tipografía qué dibujo le corresponde a cada uno, y lo pinta.

Ahí está el hueco por donde se cuela todo lo demás. El número que se guarda y el dibujo que se pinta son dos cosas distintas. Nada obliga a que dos números distintos tengan dibujos distintos.

Dos llaves idénticas que abren puertas distintas

Imagina dos llaves de tu casa. Las pones sobre la mesa una junto a la otra: mismo largo, mismos dientes, mismo color, misma marca grabada. Idénticas. Pero una abre tu puerta y la otra abre la del vecino, porque por dentro, en la parte que no ves, están cortadas distinto.

Eso es un homoglifo: dos símbolos que se dibujan igual pero que para el computador son cosas completamente diferentes.

El caso más famoso es la "a". La "a" latina es el número 97. La "а" cirílica, que se usa en ruso, ucraniano y búlgaro, es el número 1072. En prácticamente cualquier tipografía del mundo, las dos se dibujan con el mismo trazo. Acabas de leer las dos en este párrafo y no notaste el salto.

En el mensaje que me llegó, las impostoras favoritas fueron estas:

е cirílica en lugar de "e": 98 veces
а cirílica en lugar de "a": 84 veces
і ucraniana en lugar de "i": 68 veces
о cirílica en lugar de "o": 67 veces
ѕ cirílica (se llama "dze") en lugar de "s": 56 veces
Ν griega (la nu) en lugar de "N": 13 veces

La "Е" de "URGENTE", esa primera letra que leíste con toda naturalidad, era cirílica.

¿Por qué no puedes verlo, por mucho que te fijes?

Aquí es donde suelo desactivar la culpa de la gente, porque la respuesta honesta es incómoda: no es un problema de atención. Puedes leer ese mensaje diez veces, con lupa, sabiendo de antemano que hay letras falsas, y no vas a encontrarlas.

Tus ojos no fallaron. Tus ojos funcionaron perfectamente: recibieron unos trazos de tinta y los reconocieron. El problema es que la información que distingue una letra de otra no está en la tinta. Está en el número que quedó guardado debajo, y ese número no se dibuja.

Es como pedirte que distingas dos vasos de agua idénticos sabiendo que uno viene de un río y el otro de un pozo. No hay pericia visual que resuelva eso. Necesitas otro instrumento.

Y esa es exactamente la trampa que comparte con la desinformación en general. Cuando escribí sobre cómo saber si una noticia de ciencia es falsa, el hallazgo era el mismo: la verificación nunca es mirar más fuerte, es mirar en otro lugar.

El giro: ese disfraz no era para ti

Durante horas asumí lo obvio, que las letras falsas estaban ahí para engañarme a mí. Es lo que cuenta todo el mundo. Y está equivocado.

Piénsalo un segundo. Si la "е" cirílica y la "e" latina se dibujan igual, cambiar una por otra no cambia absolutamente nada de lo que tú ves. El engaño visual es cero. Escribir el mensaje con letras normales habría producido en mi pantalla una imagen idéntica.

Entonces, ¿para quién era el disfraz?

Para el portero. Para el filtro automático de Facebook.

Meta tiene sistemas que leen millones de comentarios buscando patrones conocidos de estafa: la frase "Notificación de infracción de políticas", el plazo de 24 horas, la palabra "apelación" junto a "titularidad de la cuenta". Esos sistemas no comparan dibujos. Comparan números. Y un texto donde el 59 % de las letras tiene un número distinto al esperado no se parece a nada de lo que el filtro tiene en su lista negra. Pasa como texto en un idioma extranjero cualquiera.

Los 892 caracteres invisibles hacen el mismo trabajo, por otra vía. Son símbolos reales de Unicode, con su número asignado, que las tipografías dibujan como nada: cero píxeles de ancho. Existen por buenas razones, como unir emojis o cortar palabras en árabe. Aquí sirven para romper las palabras por dentro. Donde tú lees "URGENTE", el filtro recibe algo más parecido a "U-R-G-E-N-T-E" con un tabique entre cada letra, y ya no reconoce la palabra.

Ese es el giro, y creo que es la única manera correcta de entender estos mensajes: la estafa tiene dos audiencias y solo una capa de maquillaje. El texto en español, la urgencia y el logo implícito son para ti. Las letras impostoras y los fantasmas invisibles son para la máquina que debía protegerte. Cuando el mensaje llegó a tus ojos, la pelea ya se había perdido en otro lado.

Cuando el truco se lleva a una dirección web

Lo mismo, aplicado a un dominio, es aún peor, porque ahí sí puedes perder la cuenta.

En abril de 2017, el investigador Xudong Zheng registró un dominio y publicó el enlace. Chrome, Firefox y Opera lo mostraban en la barra de direcciones como apple.com. No era una imitación aproximada: la barra decía exactamente eso, con candado de conexión segura y todo. El dominio real era xn--80ak6aa92e.com y todas sus letras eran cirílicas.

Los navegadores ya tenían una defensa desde 2005: si un dominio mezcla alfabetos, se muestra en su forma cruda. Zheng la esquivó con elegancia, escribiendo la palabra entera en un solo alfabeto. Nada estaba mezclado, así que no saltó ninguna alarma. Chrome lo corrigió en su versión 58.

Ese fue el episodio famoso, pero el problema no se cerró. En 2026 la firma Infoblox detecta más de 20.000 dominios sospechosos de imitación cada semana, y un dominio homógrafo bien construido todavía puede renderizarse como su objetivo en los tres navegadores principales. No existe una defensa unificada.

Conviene decir qué no sabemos y qué no se puede prometer. No hay ninguna forma visual de estar seguro; no toda mezcla de alfabetos es un ataque, porque hay millones de personas que escriben legítimamente en cirílico o griego; y ninguna de las herramientas que existen hoy detecta el 100 % de los casos. Quien te venda certeza aquí te está vendiendo humo.

Entonces, ¿qué puedes hacer tú?

Cuatro cosas concretas, en orden de utilidad.

Deja de juzgar por la forma. La vieja regla de "las estafas tienen mala ortografía" está muerta. El mensaje que recibí tenía tildes correctas, puntuación impecable y sintaxis de abogado. Lo que delata no es cómo está escrito, sino qué te pide.

Aplica la regla de la plataforma. Ninguna plataforma seria resuelve sus asuntos fuera de sí misma. Meta no te manda a apelar en un comentario, tu banco no resuelve un bloqueo por WhatsApp. Si el camino sale de la plataforma, es falso. Siempre. Esta sola regla te ahorra el 90 % de los casos sin necesitar saber nada de Unicode.

Escribe la dirección a mano. Si te preocupa que algo sea cierto, no toques el enlace: abre una pestaña nueva y escribe tú el sitio. Es la única defensa que funciona contra un dominio homógrafo perfecto, porque tu teclado solo produce letras latinas.

Y si tienes curiosidad, cuenta. Copiar el texto y pegarlo en cualquier detector de caracteres Unicode te muestra en dos segundos lo que tus ojos no pueden ver. Es lo que hice yo, y es la razón por la que este artículo existe.

Los que dibujan el diccionario de disfraces

Termino donde termina siempre este blog: en la gente.

Hay una defensa contra esto y es sorprendentemente artesanal. Se llama confusables.txt, es un archivo público del Consorcio Unicode, y es apenas una lista larguísima donde alguien apuntó, uno por uno, qué símbolos se parecen a qué otros. Unos 6.565 caracteres catalogados hasta ahora, cada uno emparejado con el símbolo que puede suplantar.

Ese archivo no lo generó una inteligencia artificial; para mí ese detalle es lo mejor del asunto. Lo armaron voluntarios de Google, IBM y Microsoft junto con hablantes nativos de lenguas con otros sistemas de escritura, sentados a comparar formas y a discutir si esta letra armenia se confunde de verdad con aquella latina. Sigue abierto: cualquiera puede proponer un par nuevo. Cada línea de ese archivo es una persona que se tomó el trabajo de mirar dos símbolos idénticos y anotar la diferencia que nadie ve, para que un filtro en algún servidor pueda atrapar mañana un mensaje como el que me llegó hoy.

Me gusta pensar que la seguridad de internet, en el fondo, se parece más a eso que a las películas. No es un genio tecleando en la oscuridad. Es gente paciente haciendo un catálogo de disfraces.

A mí este mensaje me tomó diez minutos y un poco de código. Pero llegó a mi página porque llega a miles de páginas, y en Latinoamérica el 86 % de los fraudes digitales detectados entra hoy por redes sociales, con aumentos interanuales de 228 % en Venezuela y 206 % en Guatemala, y las redes sociales encabezan el informe global de la APWG con 20,3 % de todos los ataques. La mayoría de quienes lo reciben no tienen cómo contar las letras.

En mi opinión, esta es la forma más barata de defender la verdad que tenemos a mano: contarlo. Por eso te lo cuento. Si esto te sirvió, la mejor manera de agradecerlo es reenviárselo a la persona de tu familia que más miedo le tiene a que le cierren la cuenta: es exactamente a quien está dirigido el mensaje.

¿Y tú, has recibido alguno de estos avisos "urgentes"? ¿Qué fue lo que te hizo dudar?