El dominio .IA se juega su futuro el 6 de abril en Europa

Cada vez que una startup, un laboratorio universitario o un equipo de ingenieros en España, Portugal o Latinoamérica lanza un proyecto puntero de Inteligencia Artificial y registra un dominio .ai, está pagando un peaje geopolítico y económico a Anguila, un pequeño Territorio Británico de Ultramar en el Caribe cuyo código geográfico ISO 3166-1 coincide, por puro azar del idioma inglés, con las siglas de Artificial Intelligence.

Figura 1: El dominio .IA se juega su futuro el 6 de abril en Europa

Mientras millones de Euros en renovaciones anuales de dominios fluyen hacia el Caribe por una simple coincidencia ortográfica anglosajona, más de 600 millones de hispanohablantes —junto a hablantes de francés, italiano, portugués, rumano, catalán o gallego— llamamos a la tecnología que está redefiniendo nuestro siglo con las siglas en nuestro propio orden: IA (Inteligencia Artificial).

Y lo más fascinante es que el código .IA tiene un hogar natural dentro de nuestras propias fronteras europeas, en las coordenadas exactas 35°52'N 23°18'E del mar Egeo: la Isla de Anticitera (Grecia), el lugar donde en 1901 unos buzos de esponjas rescataron del fondo del mar el Mecanismo de Anticitera, el prodigio de engranajes de bronce de hace más de 2.100 años considerado el primer ordenador analógico de la historia de la humanidad.

Figura 2: El Mecanismo de Anticitera en el lecho del

mar Egeo frente a los acantilados de la isla

Cuando en diciembre de 2023 publiqué aquí mismo, en El Lado del Mal, aquel primer artículo titulado «El proyecto del Country-Code Top-Level-Domain .IA para la Isla Anticitera: Conectando pasado y futuro con un Domain Hack», agradecí a Chema Alonso que me prestase su altavoz tras escribirle por MyPublicInbox para compartir lo que yo mismo bauticé entonces como «una idea loca loquísima».

Hoy vuelvo a estas páginas para contaros qué ocurre cuando te tomas una «idea loca» con mentalidad de ingeniero: hemos auditado el sistema operativo jurídico de la Unión Europea, hemos encontrado la llamada al sistema adecuada y hemos logrado que la Comisión Europea registre oficialmente la iniciativa en Estrasburgo.

De pedir firmas en Internet a ejecutar un «Legal Hack» en Estrasburgo

Al principio hicimos lo que hace todo el mundo cuando quiere cambiar algo: abrir una petición simbólica en Internet para hacer ruido. Pero pronto entendimos una verdad incómoda de la ingeniería institucional: las plataformas privadas de firmas no tienen permisos de escritura (root) en el Boletín Oficial de la Unión Europea.

Bruselas no mueve un sólo engranaje regulatorio por mucho ruido que hagas en redes sociales si no utilizas sus propios protocolos vinculantes. Así que decidimos hacer lo que haría cualquier hacker ante un sistema cerrado: leer la documentación técnica de los Tratados Europeos.

Descubrimos que existe un mecanismo constitucional de democracia directa capaz de obligar jurídicamente a la Comisión Europea a tramitar legislación comunitaria: la Iniciativa Ciudadana Europea (ICE) regulada por el Reglamento (UE) 2019/788. Pero para atravesar el primer cortafuegos —el examen de admisibilidad jurídica de los servicios legales de Bruselas— teníamos que superar dos barreras que tumban a la mayoría de propuestas:

• El Comité de las Siete Naciones: Levantar una alianza ciudadana internacional encabezada por al menos siete ciudadanos residentes en siete Estados miembros distintos de la Unión Europea.

• La prueba de competencia estricta de los Tratados: Demostrar artículo por artículo que la Comisión Europea tiene competencia legal real para legislar sobre un dominio de nivel superior .IA sin salirse del Tratado de Funcionamiento de la Unión Europea (TFUE).

Junto al co-representante griego Aristeidis Tsitiridis y un comité multinacional forjado entre España, Grecia, Francia, Portugal, Hungría, Croacia y Chipre, armamos un expediente jurídico milimétrico apoyado en los artículos 16, 114, 172 y 173 del TFUE y en el precedente directo del Reglamento (UE) 2019/517 (la norma comunitaria con la que la Unión Europea creó y gobierna el dominio .eu).

Figura 3: Decisión de Ejecución C(2026) 7098 final

El resultado llegó el 6 de octubre de 2026. Reunido en Estrasburgo, el Colegio de Comisarios de la Unión Europea adoptó la Decisión de Ejecución C(2026) 7098 final —un documento histórico donde, por cierto, el texto en lengua española es el único auténtico—, declarando jurídicamente admisible y registrando oficialmente nuestra iniciativa bajo el código ECI(2026)000012:

«Creación del Distrito Digital Europeo (.IA) para la Gobernanza de la IA Soberana»

Figura 4: Decisión de Ejecución C(2026) 7098 final

Gobernanza compilada en el DNS: Por qué el .IA no es solo una etiqueta estética

Cuando los juristas de la Comisión Europea examinaron nuestro expediente, vieron que no les estábamos pidiendo un simple capricho lingüístico, sino una solución de arquitectura para el mayor problema que tiene hoy la regulación tecnológica en Europa.

Europa ha aprobado leyes pioneras como el AI Act (Reglamento de Inteligencia Artificial), el RGPD o la cartera de identidad digital eIDAS 2.0, pero para el ciudadano de a pie o para una PyMe es casi imposible distinguir a simple vista qué servicio de IA cumple realmente con sus derechos y cuál es una caja negra opaca alojada en un paraíso de datos.

La propuesta admitida a trámite en la Decisión C(2026) 7098 final resuelve esa desconexión mediante tres engranajes legislativos concretos:

1.- Soberanía en la raíz de Internet (ISO 3166 + ICANN): Mandato para que la Comisión Europea ejerza sus competencias de representación exterior y negocie ante la ISO (Agencia de Mantenimiento ISO 3166) y la ICANN/IANA la reserva, protección y delegación del espacio de nombres .IA (vinculado a Anticitera) como activo estratégico de soberanía digital europea, siguiendo el camino que ya abrió el dominio .eu.

2.- El «Pasaporte Único» integrado en la resolución DNS (eIDAS 2.0 + AI Act + RGPD): Aquí reside el verdadero giro técnico. Proponemos que el registro y la propia resolución técnica de un dominio .ia integren por diseño tres garantías verificables para el usuario: Identidad Digital Soberana (eIDAS 2.0), auditoría algorítmica transparente (AI Act) y protección estricta de datos personales (RGPD). En lugar de enterrar la ética en PDFs legales que nadie lee, la confianza queda embebida en la propia infraestructura del nombre de dominio: si opera bajo .ia, cumple por arquitectura.

3.- Distritos Digitales de Alta Confianza y Sandboxes Regulatorios: Para que las startups, universidades y centros de investigación europeos no mueran asfixiados por el papeleo frente a los gigantes de EE. UU. o Asia, el marco comunitario promueve «Distritos Digitales de Alta Confianza» y entornos de prueba (sandboxes regulatorios) bajo los artículos 172 y 173 del TFUE, permitiendo innovar en suelo europeo con agilidad técnica y seguridad jurídica desde el primer día.

La cuenta atrás hacia el 6 de abril de 2027: Alistarse hoy para el Día 1

Conseguir que Estrasburgo firme la Decisión C(2026) 7098 final nos ha entregado las llaves de la infraestructura oficial de votación de la Unión Europea, pero ahora empieza la verdadera partida de ajedrez.

Figura 5: Un millón de apoyos en la UE

Según el artículo 8.1 del Reglamento (UE) 2019/788, desde la fecha de registro en Estrasburgo (6 de octubre de 2026) disponemos de un plazo legal exacto de 6 meses de preparación antes de que se abra la ventana oficial de recogida de firmas. Eso sitúa el encendido oficial de las urnas en una fecha matemática e inamovible: el martes 6 de abril de 2027 a las 09:00 CET.

A partir de ese minuto exacto del 6 de abril de 2027, el reloj correrá durante 12 meses para lograr una hazaña ciudadana histórica: 1.000.000 de firmas verificadas en toda la Unión Europea, superando además los umbrales mínimos oficiales en al menos 7 Estados miembros (en España nuestro umbral mínimo legal es de 41.595 firmas).

Figura 6: Umbrales mínimos en 7 Estados miembros de la UE

Por eso hemos construido y desplegado en los 24 idiomas oficiales de la Unión Europea la consola de lanzamiento del proyecto:

👉 https://anticitera.deft.work/6abril/

El reloj astronómico que veréis latiendo en anticitera.deft.work/6abril está programado para transformarse automáticamente el 6 de abril de 2027 a las 09:00 CET en la pasarela directa de votación conectada al Sistema Central de Recogida en Línea (OCS) de la Comisión Europea.

¿Cómo puedes sumarte hoy mismo a esta maniobra?

1. Apúntate en la «Lista de Pioneros · Día 1»: Deja tu correo electrónico. Cero spam y cero ruido: recibirás un único aviso prioritario en el instante exacto en que Bruselas habilite la urna oficial el 6 de abril para que puedas firmar en 30 segundos.

Figura 7: «Lista de Pioneros · Día 1»

2.- Pásalo a tu red en cualquiera de los 24 idiomas de la UE: Hemos integrado en la plataforma botones directos para compartir la cuenta atrás con mensaje precargado por WhatsApp, Telegram, X o LinkedIn en español, inglés, francés, griego, portugués, alemán, italiano y el resto de lenguas oficiales de la Unión.

3.- Alianzas con universidades, empresas, divulgadores y comunidades tech: Si representas a una universidad, colegio profesional, medio de comunicación, empresa tecnológica o comunidad de desarrolladores, marca la casilla de colaboración activa en el propio formulario de https://anticitera.deft.work/6abril/ o escríbeme directamente a través de mi buzón en MyPublicInbox.

Hace más de dos milenios, unos ingenieros griegos demostraron que el movimiento del cosmos podía modelarse con ruedas dentadas de bronce. Hoy tenemos a nuestro alcance que la Inteligencia Artificial hable en nuestro idioma, lleve nuestro nombre (.IA) y se rija por nuestros derechos. El código legal ya está compilado en Estrasburgo. El 6 de abril abrimos las urnas. 

¿Te vienes a hacer historia en el Día 1?

Un saludo,

Autor: Eloy López Sánchez, fundador e impulsor del Proyecto .IA Isla Anticitera

Contactar con Eloy López Sánchez para

El Smishing de la Seguridad Social y cómo protegerte Cloudflare ONE

El lunes por la tarde recibí un mensaje SMS de la TGSS (Tesorería General de la Seguridad Social). Por supuesto, como venía del mismo número de teléfono que siempre, se coló en mi lista de mensajes de la TGSS, donde tengo el historial de todas mis comunicaciones con ellos.

Figura 1: El Smishing de la Seguridad Social

y cómo protegerte Cloudflare ONE

Me extrañó mucho, porque no tengo nada abierto con ellos, y este año además estoy viviendo en Lisboa, así que saltó la primera alerta, pero al mismo tiempo pensé que podría ser por algún trámite antiguo, así que lo miré con más cuidado.

Figura 2: El Smishing de la TGSS

Lo siguiente que me llamó la atención fue la URL. No era la misma de siempre. Como os he dicho, tengo el historial de todos los SMS de la TGSS en mi terminal móvil migrado versión tras versión de dispositivo, así que todas las URLs eran la misma menos esta última.

Figura 3: "Ciberestafas: La historia de nunca acabar" (2ª Edición).por Juan Carlos Galindo en 0xWord.

Así que, con máxima precaución - que ya casi me como el año pasado el de la DGT por estas fechas copie la URL manualmente para probarla en la utilidad de Domain Information de Radar de Cloudflare, para salir de dudas.

Figura 4: El reporte de Radar Domain Information

Allí, por supuesto, me dijo que era una web de Phihing, y si Cloudflare Radar Domain Information lo marca así, Cloudflare Threat Intel Cloudforce One lo tiene bloqueado en el cliente Cloudflare ONE - antes WARP -, así que  sabía que iba a encontrarme con el bloqueo.

Figura 5: Bloqueo por Cloudforce One

Puedes bajarte gratis - y sin tan siguiera tener que registrarte - el cliente de Cloudflare ONE, que además elimina todos los bloqueos de dirección IP que se puedan producir por parte de cualquiera, como puedes ver en este vídeo.

Figura 6: Cómo securizar una conexión con PQC usando WARP

Además, te dará la protección de DNS Security de Cloudflare, que ya sabes que es la más rápida y la más segura que hay en el mercado.

Figura 7: Cloudflare DNS el más rápido y seguro de Internet

Por supuesto, cogí un dispositivo móvil de pruebas actualizado a la última versión y visité el sitio web. Era un Phishing para móvil muy bonito, donde no funciona absolutamente nada, y lo único que te pedía era introducir tu ID - yo metí uno falso -.

Figura 8: El Smishing de la TGSS en un móvil

sin protección de DNS Security

Para luego pedirte pagar. De nuevo una cantidad bastante pequeña para llamar la atención, pero que a los más mayores del lugar nos llama aún más la atención.

Figura 9: Currado, pero falso

En fin, mantente alerta que los cibercriminales te quieren pillar con la guardia baja después del verano, que ellos no descansan...ni en verano.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

La propuesta del Internet Protocol Version 8 (IPv8) para tener compatibilidad con IPv4 e ignorar IPv6

Estamos en el proceso de migrar todo el tráfico IPv4 a IPv6 desde hace ya unos años, y la verdad es que poco a poco esto está creciendo, pero aún estamos lejos de llegar al objetivo de tener más tráfico IPv6 que tráfico IPv4 en las redes de todo el mundo. Sin embargo, existen algunas otras propuestas de cambios para IPv4 distintas a la de IPv6, y recientemente se ha publicado la propuesta hecha por James Thain de, en lugar de migrar a IPv6, hacerlo a IPv8, que es cuanto menos interesante.

Figura 1: La propuesta del Internet Protocol Version 8 (IPv8)

para tener compatibilidad con IPv4 e ignorar IPv6

La propuesta fue publicada hace menos de un mes, con una serie completa de documentos para definir los protocolos necesarios para pasar a IPv8, como serían los protocolos DHCP8, WHOIS8, y el conjunto mínimo de protocolos de gestión del enrutamiento de tráfico IPv8 en las redes de Internet de hoy en día.

Figura 2: Propuesta de Internet Protocol Version 8 (IPv8)

El objetivo principal de esta propuesta, como bien se explica a lo largo de todo el documento, que la verdad, es bastante sencillo de leer, consiste en mantener la compatibilidad hacia atrás con todo lo construido hasta el momento, haciendo un cambio muy pequeño, que es cambiar la dirección IPv4 por la dirección IPv8.

Figura 3: Paquete de dirección IPv8

La gran diferencia, como se puede ver en el paquete IPv8 es que se añaden las cabeceras ASN de 32 bits tanto a la dirección IP de origen, como a la dirección IP de destino, lo que permite a los protocolos de enrutamiento reenviar correctamente al ASN correspondiente el paquete correctamente.

Figura 4: Compatibilidad hacia atrás de IPv8 con IPv4

Al añadir el Autonomous System Number (ASN), marcado como r.r.r.r, en los cuatro primeros bytes, una dirección IPv8 sería la suma de la parte de ASN r.r.r.r más la parte de IPv4 clásica, a la que se llama en el documento como n.n.n.n. 

Figura 5: Direcciones IPV8

Esto sería como tener 2 a la 32 veces el tamaño de direcciones IPv4 que tenemos hoy en día, y dejando la dirección 0.0.0.0.n.n.n.n como la red de IPv4 que tenemos en Internet funcionando ahora mismo.

Figura 6: r.r.r.r igual 0.0.0.0 sería el IPv4 de hoy en día.

Es decir, con un cambio sencillo en el envío de paquetes de red IPv4 se podría resolver el problema de que se acaben las direcciones IPv4 manteniendo todo el software construido sobre él funcionando. Y la propuesta es porque está costando ir más rápido a IPv6 de lo que se estaba esperando al inicio. Si miramos radar, podemos ver en Radar de Cloudflare que en los últimos doce meses el tráfico sobre IPv6 está estable en un 30% más o menos.

Figura 7: Trafico IPv4 vs. Tráfico IPv6 en Radar de Cloudflare

Claro, mantener la compatibilidad hacia atrás implica que sigan funcionando todos los ataque en redes de datos IPv4 que ya conocemos, además de todas sus medidas de seguridad. Es decir, se supone que el conocimiento que tenemos de estos protocolos debemos usarlos en hacerlos más seguros y no en migrarlos.

Figura 8: Ataques en redes de datos IPv4&IPv6 (4ª Edición) de

JL. Rambla, ampliado y revisado por Pablo González y Chema Alonso

Los cambios que sí que habría que hacer son los relativos a la interconexión de redes, por lo que todos los protocolos de enrutamiento de tráfico y gestión de redes deberían cambiar a IPv8, como serían BGP8, OSPF8, WHOIS8, SNMP8, etcétera, que están definidos en sus correspondientes documentos.

Figura 9: Documentos para los protocolos de gestión de redes IPv8

Y por supuesto, crear los tipos de redes especiales con direccionamientos reservados, al igual que tenemos en IPv4 e IPv6, que están descritos con detalle en el documento de Internet Protocol Version 8 (IPv8) del que estamos hablando.

Figura 10: Tipos de redes en IPv8

El documento recoge también las direcciones especiales que deben existir en estas redes IPv8, donde los nodos de enrutamiento dentro de tráfico a través de los ASNs deben ser tenidos en cuenta de manera especial, así que en la definición de estándar están especificados.

Figura 11: Direcciones especiales en IPv8

En definitiva, me parece una propuesta súper bonita como trabajo técnico de arquitectura de redes. Me falta criterio tan pronto para decir si es una opción mejor que ir hacia IPv6 o no, pero desde luego mis felicitaciones a James Thain por este trabajo tan bonito que ha publicado. Así es la investigación y la innovación, proponer ideas concretas que puedan ser evaluadas y aprender de ellas. 

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Doom over DNS: O cómo guardar, descargar y ejecutar Doom desde el DNS (de Cloudflare)

Almacenar ficheros en los sitios menos pensados no es algo nuevo. Hace años que ya teníamos DNSFS, donde se utilizaba el DNS para almacenar ficheros, y nosotros en el equipo de Ideas Locas creamos un almacenamiento infinito a mi Macintosh utilizando una Raspberry Pi, Python & Google Photos, lo que nos permitía tener la posibilidad de descargar cualquier juego desde la nube y ejecutarlo.

Figura 1: Doom over DNS: O cómo guardar, descargar y

ejecutar Doom desde el DNS (de Cloudflare)

Estos días se ha publicado Doom over DNS, así que he ido a ver cómo lo han hecho, y la verdad es que es bastante sencillo, pero mezclar Doom siempre en la ecuación genera mucho interés. 

View this post on Instagram

Aquí andamos, trabajando un rato. Os prometo que esto es parte de una investigación }:) Prince of Persia Rulez!!

A post shared by Chema Alonso (@chemaalonso) on Oct 2, 2019 at 1:39am PDT

Cuando había que probar el emulador de MS-DOS para iPhone, mi primera prueba fue con DOOM, por supuesto, ya hace poco os hablé de otro caso donde construían versiones Doom-Like para DuckDB, CedarDB e incluso Excel, que es que los fans de esta joya son muchos.

Figura 3: Doom over DNS

Ahora el "hack" era utilizar registros TXT de los DNS - en este caso de Cloudlare - para guardar un port de Doom a C#, aprovechar la distribución mundial de baja latencia en Edge que ofrece el DNS más rápido y más seguro de Internet - ya sabéis que es 1.1.1.1 de Cloudflare -, y ejecutarlo con una simple llamada.

Figura 4: Cloudflare DNS el más rápido y seguro de Internet

Para ello, tienes el proyecto de Doom over DNS en GitHub, y te puedes bajar todos los scripts que necesitas, escritos en PowerShell, con el contenido del juego que se va subir a 1964 registros TXT del DNS de tu dominio, para tener el código que hay que descargar completo.

Figura 5: Doom over DNS en GitHub

Los comandos para compilar el juego a bytecodes y poderlo subir al DNS de Cloudflare son los siguientes tres que tienes aquí. Y te va a ir a toda "mecha" y cifrado en PQC si usas el cliente WARP de Cloudflare en tu conexión de Internet.

Figura 6: Build the Game, Load Cloudflare Credentials, Upload to DNS

Una vez que lo tengas subido, pues ya es tan fácil como pedir la ejecución con otro script, también en PowerShell que tiene varias opciones para que lo puedas ejecutar bajo demanda.

Figura 7: Ejecución desde PowerShell de Doom over DNS

Esta idea de usar PowerShell para descargar y ejecutar cosas también es la que se usa en iBombShell de la que hemos hablamos muchas veces por aquí. Así que se podría hacer una mezcla de registros TXT del DNS para almacenar los payloads de iBombShell.

Figura 8: Arrancando Doom over DNS

Si quieres saber cómo funciona, pues descárgate el código desde el GitHub de Doom over DNS y pruébalo. Y, si quieres, adáptalo para hacer lo mismo con el juego que quieras. ¿Quién se anima a hacer uno para ejecutar el Light-Cycles de Tron? 

Figura 9: Comprar libro de "Pentesting con PowerShell Silver Edition"

de Pablo González en 0xWord.

Otra opción chula podría hacer el porting a TypeScript y subirlo a los Workers de Cloudflare, como hicimos con el Arkanoid, ¿no? Vamos, que es muy sencillo.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

El Proyecto Anticitera explicado en Vídeo

En Diciembre del año 2023, os publicaba el artículo sobre el Proyecto de Isla Anticitera de Eloy López Sánchez para conseguir que exista un dominio .IA que pueda ser utilizado para las empresas y proyectos de Inteligencia Artificial utilizando nuestra forma española de lA. Él lleva desde el año 2019 peleando por ello.

Figura 1: El Proyecto Anticitera explicado en Vídeo

En aquel artículo nos contaba el proyecto, y cómo estaba luchando para conseguir que Europa hiciera la petición y tuviéramos no sólo el .AI en Inglés, sino el .IA en Español. En este vídeo lo explica en detalle.

Figura 2: Proyecto de Anticitera explicado en vídeo

Para informarnos del Proyecto de Isla Anticitera,  Eloy López Sánchez nos describía la idea en el primer artículo de la siguiente manera:

"La clave del éxito del proyecto .IA Isla Anticitera reside en la colaboración. Invitamos a individuos, empresas, organismos y organizaciones a unirse a esta histórica aventura. Cada contribución, grande o pequeña, es vital para dar vida a este sueño. Imagina un espacio en Internet donde la historia se encuentre con la innovación, un lugar que celebra el conocimiento y la tecnología."

Figura 3: Proyecto de .IA Isla Anticitera

"La era digital nos ofrece oportunidades únicas para fusionar la historia con la innovación. El proyecto .IA Isla Anticitera es una iniciativa pionera que busca establecer un nuevo dominio en Internet, no solo para rendir homenaje a un artefacto histórico, sino también para abrir un nuevo horizonte en la cultura digital. Este proyecto se convierte en un puente entre el pasado milenario de la Isla de Anticitera, hogar del mecanismo antiguo que marcó los albores de la tecnología computacional, y el futuro de la tecnología de Internet."

Además, nos contó en una entrevista que le hicimos todo esta iniciativa y todas las acciones que estaba llevando a cabo, como la petición en Change.ORG que aún podéis apoyar.

Figura 4: Pablo González entrevista a Eloy López Sánchez

Apoya en Change.ORG la Petición del Proyecto de Anticitera

"Los griegos no fueron los únicos capaces de hacer cosas increíbles, todos llevamos a un pequeño Hacker en nuestro interior, y este artículo, quiere ser una llamada a la acción para ese Hacker interior que todos llevamos dentro, necesito lo mejor de cada uno para que esta idea, alcance cotas insospechadas. Para ello, puedes apoyar este proyecto de diferentes maneras."

Figura 5: Apoya el Proyecto de Anticitera en Change.org

"La primera de ellas, es la que os traigo para este artículo, que es apoyando la petición que hemos abierto en Change.ORG para que este proyecto llegue a los Parlamentarios Europeos y que empujen estos este proyecto, que son los que deben liderarlo. "

Si quieres colaborar con esta iniciativa, además de firmar la petición anterior, puedes ponerte en contacto con Eloy Sánchez López a través de su perfil en MyPublicInbox.

Figura 6: Contactar con Eloy López Sánchez para

Yo personalmente creo que la idea es buena, y he de reconocer que Eloy está trabajando duro por conseguirla, así que todos los que queráis apoyar esta causa seréis bienvenidos a ella.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

URL Hallucination: Las "Hallucinations" de los buscadores de GenAI que te pueden llevar a sitios de Phishing

El equipo de seguridad de NetCraft ha publicado una pequeña prueba donde le han pedido a buscadores de GenAI basados en LLMs que les dieran las URLs de acceso a las webs de marcas oficiales, y lo que han recibido es un buen número de "Hallucinations" perfectas para crear sitios de Phishing esperando a que otro usuario reciba la misma alucinación.

Figura 1: Las "Hallucinations" de los buscadores de GenAI

que te pueden llevar a sitios de Phishing

La idea es similar a la que vimos de Package Hallucinations, donde los motores LLM alucinan librerías y paquetes de software que no existen, y que pueden ser creados con malware para que las víctimas que reciban esa alucinación en el futuro queden infectadas. 

Figura 2: Peplexity alucinando la respuesta en el estudio de NetCraft

En el experimento se han encontrado también con que algunas de esas URLs, como este ejemplo de Perplexity, ya llevaban directamente a sitios de Phishing.

Figura 3: En la URL hay una web de phishing

En este caso la idea es la misma, y yo he querido probarlo con DeepSeek, para ver cuánto alucina esas URLs. El resultado ha sido curioso. Al igual que en la prueba de que han publicado en NetCraft, la mayoría de las URLs no son buenas, pero son alucinaciones dentro del mismo dominio, como por ejemplo en este caso donde le pido la URL de la tienda oficial de Coca-Cola y me da un sub-dominio de la web oficial que no existe.

Figura 4: URL alucinada, pero no peligrosa para Phishing

Como podéis ver, ni está ahí la tienda, ni está controlado, ni redirigido ni nada. Tal vez debería tener una redirección ese subdominio a la web de la tienda oficial como usabilidad para el usuario.

Figura 5: Subdominio alucinado de la tienda de Coca-Cola

Lo he probado con otras marcas y tiendas online, y el resultado ha sido más o menos similar. Ha salido una alucinación con la tienda online de Queen, de Metallica, etcétera. Pero cuando le pedí la de mis amigos de Hombres G recibí una alucinación peligrosa, ya que era una alucinación de dominio.

Figura 6: El dominio hombresg.es no es el correcto.

Por supuesto, un grupo de música no puede andar comprando todos los dominios, que si David Summers, Rafa Gutiérrez, Javi Molina y Dani Mezquita tienen que comprar todos los dominios que se pueden construir con Hombres G puede ser infinito, y tampoco creo que haya tanto tráfico de posibles clientes de productos de marketing de la banda que busquen en DeepSeek, pero lo curioso es que el dominio está disponible y se podría montar una web de Phising por 1 €.

Figura 7: Dominio hombresG.es disponible por 1 €

Visto esto, quise probarlo ya con Bancos y Cajas de Ahorro, y probar algunas posibles búsquedas curiosas, como por ejemplo alguien que busca la web de un banco en otro país. Para ello le pedí una lista de webs de URLs de bancos y cajas de ahorro para probarlas rápidamente, y una me llamó la atención.

Figura 8: URLs de bancos y cajas de ahorro devueltas por DeepSeek

Como no sabía de quién era esa URL que tan rara le pedí detalles sobre ella, y como podéis ver me dice que es la de Caja Rural de Ciudad Real.

Figura 9: Supuesta web de Caja Rural de Ciudad Real

Por supuesto es una alucinación, y el domino no está registrado. Cualquiera puede comprarlo por sólo 1 € y montarse ahí al web de Phshing para aquellas posibles víctimas que busquen el dominio en un buscador de GenAI y acaben en ella por culpa de la alucinación.

Figura 10: Dominio disponible para Phishing por 1 €

Por último, probé a ver si pidiendo URLs de acceso desde otros países, como Portugal, salían también sitios alucinados, y lo probé con varios de ellos. Uno, La Caixa, donde se puede ver que me da un dominio .pt de la entidad.

Figura 11: Dominio caixabank.pt alucinado

Me sonaba raro, así que lo probé y el domino no está disponible, ni con redirección, por lo que no es navegable para nada, tal y como se puede ver en la imagen siguiente.

Figura 12: Domino caixabank.pt no funciona

Por suerte, el dominio está controlado por el equipo de seguridad de La Caixa, ya que como vemos en el Whois, lo tienen controlado por si acaso..

Figura 13: Dominio controlado contra alucinaciones y malos

Al final, los dominios similares es algo que se conoce desde hace mucho tiempo, y hay que controlarlos o monitorizar la aparición de sitios de Phishing. 

Figura 14: "Ciberestafas: La historia de nunca acabar" (2ª Edición).por Juan Carlos Galindo en 0xWord.

Esto es más un toque de atención para los usuarios que buscan URLs a través de LLMs o motores de GenIA: Ojo con las alucinaciones, que los malos las van a utilizar siempre para sus ciberetafas.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)