Kampania phishingowa z niewidocznym Unicode omija filtry pocztowe na masową skalę

Wprowadzenie do problemu / definicja

Microsoft ostrzegł przed szeroko zakrojoną kampanią phishingową, w której napastnicy wykorzystują niewidoczne znaki Unicode do ukrywania słów kluczowych przed mechanizmami filtrowania poczty. Dla odbiorcy treść wiadomości wygląda poprawnie, jednak silniki detekcyjne oparte na prostym dopasowaniu ciągów znaków mogą nie rozpoznać podejrzanych fraz.

To podejście pokazuje, że techniki kojarzone dotąd głównie z badaniami nad bezpieczeństwem systemów AI coraz częściej trafiają do klasycznych ataków e-mailowych. W efekcie phishing staje się trudniejszy do wykrycia zarówno na poziomie bram pocztowych, jak i wewnętrznych narzędzi analitycznych.

W skrócie

Kampania osiągała skalę od 1 do 2,37 mln wiadomości dziennie.
Ataki rozpoczęły się na początku lutego 2026 roku i utrzymywały wysoką aktywność przez około trzy miesiące.
Napastnicy wstawiali niewidoczne znaki z zakresu Unicode Tags pomiędzy litery słów związanych z finansowaniem, pożyczkami i kredytami.
Wysyłka była powiązana z nadużyciem legalnej platformy marketing automation, co utrudniało blokowanie kampanii na podstawie reputacji.
Po 15 maja 2026 roku aktywność operacji wyraźnie spadła, ale sama technika pozostaje istotnym zagrożeniem.

Kontekst / historia

Ukrywanie treści za pomocą znaków niewidocznych, homoglifów czy nietypowych separatorów nie jest nowym zjawiskiem w świecie spamu i phishingu. Od lat przestępcy stosują znaki zero-width, miękkie łączniki czy niestandardowe odstępy, aby osłabiać skuteczność reguł opartych na sygnaturach.

W tym przypadku nowością jest wykorzystanie bloku Unicode Tags o zakresie U+E0000–U+E007F. Historycznie zakres ten był związany z tagowaniem językowym i dziś ma ograniczone praktyczne zastosowanie, ale stał się interesujący z perspektywy bezpieczeństwa ze względu na możliwość ukrywania danych w treści widocznej dla człowieka.

Badacze łączą tę aktywność z szerszymi operacjami phishingowymi wykorzystującymi legalne narzędzia do masowej wysyłki wiadomości. Tego typu infrastruktura pozwala przestępcom lepiej imitować legalną komunikację biznesową i zwiększać skuteczność kampanii wymierzonych m.in. w małe oraz średnie firmy.

Analiza techniczna

Mechanizm ataku jest prosty, ale skuteczny. Napastnik bierze słowo o wysokiej wartości detekcyjnej, na przykład związane z finansowaniem lub kredytem, a następnie umieszcza pomiędzy jego literami nierenderowane znaki Unicode. Użytkownik widzi normalny wyraz, natomiast część silników filtrowania analizuje już inny ciąg znaków niż ten postrzegany wizualnie.

Jeżeli system antyspamowy korzysta z literalnego dopasowania słów, prostych wyrażeń regularnych albo niepełnej normalizacji Unicode, taka obfuskacja może wystarczyć do obejścia reguł. Problem staje się szczególnie widoczny tam, gdzie pipeline przetwarzania treści inaczej interpretuje tekst na etapie ekstrakcji, tokenizacji i klasyfikacji.

Microsoft wskazał, że w analizowanych próbkach najczęściej nadużywano właśnie znaków z bloku Unicode Tags. To ważne, ponieważ część produktów bezpieczeństwa uwzględnia popularne znaki zero-width, ale nie zawsze obejmuje mniej typowe zakresy Unicode, które w praktyce mogą tworzyć realną lukę detekcyjną.

Dodatkowym utrudnieniem była wysyłka z użyciem legalnej platformy mailingowej. Taki model daje napastnikom korzyści w postaci lepszej reputacji infrastruktury, poprawnej autoryzacji poczty oraz ruchu przypominającego standardowe kampanie marketingowe. Według analiz wykorzystywano również setki jednorazowych domen o tematyce finansowej, a odnośniki były kierowane przez mechanizmy click-trackingu charakterystyczne dla platform automatyzacji marketingu.

Konsekwencje / ryzyko

Zagrożenie dla organizacji ma kilka warstw. Po pierwsze, spada skuteczność zabezpieczeń opartych wyłącznie na prostych sygnaturach treści. Po drugie, wykorzystanie legalnej infrastruktury wysyłkowej utrudnia blokowanie wiadomości w oparciu o samą reputację domen i adresów IP.

Po trzecie, tematyka finansowania, pożyczek i wsparcia dla biznesu zwiększa skuteczność socjotechniczną, szczególnie wśród małych i średnich przedsiębiorstw. Ofiary mogą przekazywać dane kontaktowe, informacje finansowe lub szczegóły działalności, które następnie posłużą do bardziej ukierunkowanych oszustw, spear-phishingu albo prób przejęcia kont.

W szerszym ujęciu incydent potwierdza rosnące przenikanie się obszarów bezpieczeństwa AI i tradycyjnego cyberbezpieczeństwa. Techniki opracowywane lub popularyzowane w jednym segmencie bardzo szybko znajdują zastosowanie w innym, co wymusza aktualizację modeli detekcji i procedur obronnych.

Rekomendacje

Organizacje powinny sprawdzić, czy ich bramki e-mail, systemy DLP, moduły antyspamowe oraz narzędzia analizy treści poprawnie obsługują normalizację i tokenizację znaków z zakresu Unicode Tags. Sama odporność na najpopularniejsze znaki zero-width nie jest już wystarczająca.

rozszerzyć reguły detekcyjne o analizę niewidocznych znaków Unicode, w tym U+E0000–U+E007F,
normalizować treść wiadomości przed analizą sygnaturową i klasyfikacją,
tworzyć alerty dla nietypowych znaków osadzonych wewnątrz słów wysokiego ryzyka,
monitorować wiadomości wysyłane z legalnych platform mailingowych pod kątem anomalii językowych i nietypowych domen,
korelować sygnały z treści, reputacji, uwierzytelniania nadawcy oraz zachowania użytkownika,
szkolić zespoły SOC i administratorów poczty z nowych technik obfuskacji Unicode,
prowadzić kampanie uświadamiające dla pracowników działów finansów, sprzedaży i obsługi klienta.

Dobrą praktyką jest także testowanie własnych mechanizmów ochronnych przy użyciu kontrolowanych próbek zawierających niewidoczne znaki. Pozwala to ustalić, czy wszystkie komponenty środowiska bezpieczeństwa interpretują wiadomość w ten sam sposób, co użytkownik końcowy.

Podsumowanie

Opisana kampania pokazuje, że phishing rozwija się nie tylko pod względem socjotechniki, ale również przez subtelne manipulowanie reprezentacją tekstu. Wstawianie niewidocznych znaków Unicode do słów kluczowych może być wyjątkowo skuteczne tam, gdzie systemy ochronne nie stosują pełnej normalizacji znaków i głębszej analizy treści.

Połączenie tej techniki z masową wysyłką oraz nadużyciem legalnej platformy marketingowej znacząco zwiększa skuteczność ataku i utrudnia jego wykrycie. Dla zespołów bezpieczeństwa to wyraźny sygnał, że nowoczesna ochrona poczty musi uwzględniać Unicode-aware processing, analizę semantyczną oraz ocenę kontekstu całej kampanii.