TypoPrompting convierte dominios falsos de herramientas de inteligencia artificial en trampas con programa malicioso, y el cebo es un error al teclear. Island rastreó 186 dominios que imitan a 27 marcas de IA y los siguió hasta tres salidas concretas: una página falsa de verificación que ordena pegar un comando, una aplicación firmada por la tienda de Microsoft que secuestra el navegador y unas extensiones que se quedan con las búsquedas. El informe de Oleg Zaytsev salió el 12 de noviembre, con foto fija del 3 de noviembre.
ChatGPT carga con 25 imitaciones, Claude con 18 y DeepSeek con 16. Runway suma 12, y Perplexity, Lovable y Character.ai quedan con 11 cada una. Los errores son los de cualquier teclado apurado: una tecla vecina, dos letras cruzadas, una que se pierde. De ese descuido nacen direcciones como cloude.ai, clsude.ai, chatlgpt.com, geimini.com o preplexity.ai, ninguna propiedad de la empresa buscada. Varios registros de esos nombres fechan del 13 de julio de 2023: el negocio de cazar despistes lleva años montado.
Ninguna de esas páginas ataca a todo el mundo por igual. El dominio aparcado entrega el navegador a un sistema de reparto de tráfico que mira país, sistema operativo y navegador antes de elegir destino: un visitante ve una página vacía y otro, con el perfil buscado, recibe la trampa completa. Infoblox ya había documentado esa fontanería en diciembre de 2025 con dominios aparcados de todo tipo, e Island la siguió esta vez marca por marca de IA.
Un error de dedo y la página pide pegar un comando
La ruta documentada arranca en cloude.ai, la imitación de Claude. La cadena de redirecciones recoge la huella del navegador y la IP pública, y al final abre una verificación falsa de Cloudflare que enseña a abrir el cuadro Ejecutar de Windows, pegar un texto y pulsar Intro.
Ese texto baja el archivo W901.ps1 con curl.exe desde una dirección escrita como un solo número, 3112851459, que esconde la IP 185.138.88.3 sin puntos a la vista. El guion corre en PowerShell con la ventana oculta y saltándose la política de ejecución. La táctica tiene nombre propio, ClickFix, y los ataques ClickFix ya habían aparecido contra equipos industriales con otro disfraz; aquí el disfraz es la IA.
El pivote sobre el guion de esa puerta dejó 550 registros de escaneo en 211 dominios de entrada entre abril de 2025 y noviembre de 2026, y el conjunto desborda el mundo de la IA: dentro hay imitaciones de Scotiabank, Charles Schwab, Verizon, ServiceNow y Microsoft Azure. Para macOS el señuelo cambia a una falsa actualización de Terminal que pide correr una orden en la consola, y a otros visitantes les toca un archivo comprimido con la instrucción de extraerlo y ejecutar lo de dentro. TypoPrompting a escala ancha, con dominios falsos para cada equipo.
La segunda ruta lleva una firma auténtica de Microsoft
Ocho dominios mal escritos de Claude, DeepSeek, Copilot, ElevenLabs y Voice AI pasan por deezyj.com y aterrizan en páginas falsas de «Security Check» que descargan Net Guard, presentada como un escáner de seguridad para wifi y DNS. El detalle que desarma la intuición: el paquete MSIX coincide con el de la tienda de Microsoft, publicado por Myflixly App y con la firma Marketplace de la propia Microsoft. Zaytsev lo dejó dicho sin rodeos a The Hacker News: la descarga «es la aplicación de la tienda, sin modificar», idéntica byte a byte a la que distribuye Microsoft.
Dentro viaja un control oculto del navegador que se activa solo, sin pedir permiso. Espera a que la persona deje de usar el equipo y entonces cambia el buscador predeterminado de Chrome, corre guiones enviados desde el servidor del operador, edita perfiles y puede instalar extensiones arbitrarias. Island analizó Net Guard 1.0.9.0, Privacy Keeper 1.0.10.0 y MyFlixly Browser 1.0.10.0, y clasifica los tres paquetes como secuestradores de navegador maliciosos. El embudo alrededor suma 191 páginas de aterrizaje y 1.437 dominios de origen.
La tercera salida es la más silenciosa. preplexity.ai, la imitación de Perplexity, manda al visitante a Quick Search, una extensión de la Chrome Web Store cuyo manifiesto cambia el buscador predeterminado por find.flashysearches.com sin necesitar código ejecutable ni permisos declarados. Cada búsqueda de la barra pasa primero por un tercero, y en una computadora de trabajo esas consultas pueden llevar nombres de clientes y proyectos. La extensión forma parte de un juego de 30 piezas del mismo molde: 13 ya salieron de la tienda, y las 17 que seguían publicadas el 3 de noviembre declaraban en conjunto 972.000 usuarios, con GPT for Chrome aportando 80.000 de ellos.
Defenderse empieza por quitarle trabajo al teclado: marcadores administrados o accesos directos oficiales para las herramientas de IA aprobadas, y desconfianza total ante cualquier página de verificación que pida pegar una orden en Windows o en la Terminal. Una firma de tienda válida tampoco describe el comportamiento de una aplicación, como demuestra Net Guard, y el buscador y las extensiones merecen revisión periódica.
El punto débil de TypoPrompting no es un fallo de Claude ni de ChatGPT que un parche pueda cerrar: es el hábito de escribir la dirección de memoria, varias veces al día, con las prisas puestas. Island publicó los indicadores de compromiso de las tres rutas, y las 17 extensiones que seguían en la tienda en la foto del 3 de noviembre son el primer sitio donde mirar.
Fuente: The Hacker News
Top comments (0)