Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Ukryty tekst w wiadomościach e-mail, określany często jako text salting, to technika polegająca na dodawaniu do treści wiadomości niewidocznych lub trudnych do zauważenia fragmentów tekstu, które mają zmylić mechanizmy analizy bezpieczeństwa. W praktyce atakujący modyfikują warstwę HTML i CSS wiadomości tak, aby silniki filtrowania — w tym systemy oparte na sztucznej inteligencji — interpretowały zawartość inaczej niż człowiek widzący finalny wygląd wiadomości w skrzynce odbiorczej.
W skrócie
Badacze zaobserwowali ponad milion phishingowych wiadomości stylizowanych na komunikację handlową, które od kwietnia wykorzystywały ukryty tekst do obchodzenia zabezpieczeń poczty. Kampanie bazowały na prostych przynętach, takich jak punkty lojalnościowe, nagrody czy karty podarunkowe, a ich skuteczność wynikała nie tyle z jakości socjotechniki, co z manipulacji treścią źródłową wiadomości. Problem dotyczy zarówno klasycznych bram bezpieczeństwa poczty, jak i nowszych mechanizmów analizy treści wspieranych przez modele językowe.
Kontekst / historia
Technika ukrywania lub „solenia” tekstu nie jest nowa. Przez lata była wykorzystywana do omijania filtrów antyspamowych opartych na prostych regułach i dopasowaniu słów kluczowych. Współcześnie wraca jednak w odświeżonej formie, ponieważ środowisko obronne zmieniło się szybciej niż same podstawy ataku.
Nowoczesne systemy ochrony poczty coraz częściej łączą klasyczne kontrole reputacyjne, analizę nagłówków, weryfikację domen nadawcy i mechanizmy uwierzytelniania z analizą semantyczną treści. To właśnie w tym obszarze pojawiła się nowa asymetria: napastnicy mogą automatycznie generować dużą liczbę wariantów wiadomości i modyfikacji kodu, podczas gdy systemy obronne nadal mają trudność z poprawnym odtworzeniem rzeczywistego znaczenia wiadomości ukrytego pod warstwą prezentacji.
W opisywanych kampaniach wykorzystywano wiadomości podszywające się pod znane marki detaliczne. Część z nich używała domen podobnych do legalnych, a część była wysyłana z przejętych, prawidłowo działających domen, co dodatkowo utrudniało detekcję na podstawie reputacji i sygnałów infrastrukturalnych.
Analiza techniczna
Sedno problemu polega na rozbieżności między tym, co widzi użytkownik, a tym, co analizuje system bezpieczeństwa. Bramy pocztowe i silniki klasyfikujące nie oceniają jedynie „obrazu” wiadomości. W pierwszej kolejności przetwarzają kod źródłowy, strukturę MIME, HTML, style oraz tekst możliwy do odczytu maszynowego.
Atakujący wstrzykują do wiadomości neutralne, nieszkodliwe fragmenty tekstu, które rozbijają wzorce charakterystyczne dla phishingu. Przykładowo słowa sugerujące presję czasową, nagrodę lub korzyść finansową mogą zostać przeplatane losowymi wyrazami albo dłuższymi, pozornie niegroźnymi akapitami. Dzięki temu model lub filtr oparty na analizie tekstu otrzymuje mniej jednoznaczny sygnał ryzyka.
Kluczowe jest jednak ukrycie tych fragmentów przed odbiorcą. W tym celu wykorzystywane są typowe techniki manipulacji warstwą prezentacji:
- ustawienie rozmiaru czcionki na zero,
- osadzenie tekstu w kontenerze o zerowej szerokości lub wysokości,
- przesunięcie zawartości poza widoczny obszar ekranu,
- ukrycie przewijania, aby użytkownik nie zauważył dodatkowej treści,
- nakładanie kilku metod ukrywania jednocześnie, aby utrudnić ich automatyczne odtworzenie.
To właśnie wielowarstwowość techniki zwiększa jej skuteczność. Wiele narzędzi ochronnych potrafi wykrywać pojedyncze formy ukrytego tekstu, ale ma większy problem, gdy jedna wiadomość łączy kilka sposobów maskowania jednocześnie. Jeśli mechanizm „odwinie” tylko część treści, pozostałe elementy nadal mogą zaburzyć klasyfikację.
Dodatkowym czynnikiem wzmacniającym atak jest wykorzystanie modeli językowych przez przestępców. LLM-y pozwalają szybko generować warianty neutralnych wstawek tekstowych, modyfikować komunikaty phishingowe i automatycznie przygotowywać różne wersje kodu HTML. Oznacza to niższy koszt przygotowania kampanii i łatwiejsze testowanie, które kombinacje najlepiej przechodzą przez filtry.
Konsekwencje / ryzyko
Dla organizacji ryzyko jest wielowymiarowe. Po pierwsze, wzrasta prawdopodobieństwo dostarczenia phishingu bezpośrednio do skrzynki odbiorczej użytkownika, mimo wdrożonych zabezpieczeń pocztowych. Po drugie, kampanie tego typu obniżają skuteczność narzędzi, które zbyt mocno polegają na analizie semantycznej lub pojedynczych cechach wiadomości.
Najważniejsze konsekwencje praktyczne to:
- wzrost skuteczności kampanii kradzieży danych uwierzytelniających,
- większa ekspozycja użytkowników na fałszywe strony logowania i złośliwe linki,
- ryzyko obejścia warstw detekcji opartych na AI,
- trudniejsze dochodzenie i korelacja incydentów z powodu dużej zmienności treści wiadomości,
- możliwość nadużycia legalnych lub przejętych domen, co osłabia wartość sygnałów reputacyjnych.
Szczególnie narażone są organizacje, które traktują wdrożenie „AI w ochronie poczty” jako zamiennik dla pełnej, wielowarstwowej architektury bezpieczeństwa. Sama obecność modeli analitycznych nie eliminuje problemu, jeśli system nie porównuje wersji widocznej dla użytkownika z pełną treścią techniczną wiadomości i nie analizuje relacji między nadawcą, linkami, zachowaniem oraz intencją wiadomości.
Rekomendacje
Z perspektywy operacyjnej obrona przed tego typu kampaniami wymaga podejścia wielowarstwowego.
Po stronie technologicznej warto:
- wdrożyć analizę wiadomości opartą zarówno na renderowanej wersji treści, jak i na surowym HTML,
- wykrywać anomalie związane z ukrytym tekstem, nietypowymi stylami CSS i elementami przesuwanymi poza ekran,
- korelować analizę treści z reputacją domeny, historią nadawcy, autoryzacją wiadomości oraz oceną osadzonych linków,
- uruchamiać sandboxing i dynamiczną analizę adresów URL z wiadomości o podwyższonym ryzyku,
- monitorować nietypowy stosunek ilości tekstu ukrytego do tekstu widocznego.
Po stronie procesów bezpieczeństwa zalecane jest:
- okresowe strojenie reguł SEG i silników detekcyjnych pod kątem technik text salting,
- testowanie odporności środowiska za pomocą symulowanych kampanii phishingowych wykorzystujących ukryty tekst,
- tworzenie detekcji w SIEM/XDR dla wiadomości zawierających podejrzane konstrukcje HTML i CSS,
- uwzględnienie tej techniki w playbookach SOC oraz procedurach triage.
Po stronie użytkowników końcowych nadal istotne pozostają:
- szkolenia rozpoznawania presji czasowej, obietnic nagród i nietypowych żądań kliknięcia,
- promowanie zasady ograniczonego zaufania wobec wiadomości marketingowych i lojalnościowych,
- zgłaszanie podejrzanych wiadomości nawet wtedy, gdy przeszły przez zabezpieczenia poczty.
Podsumowanie
Opisana kampania pokazuje, że skuteczne ataki phishingowe nie muszą być technicznie skomplikowane. Wystarczy umiejętne wykorzystanie różnicy między tym, co interpretuje system bezpieczeństwa, a tym, co widzi człowiek. Ukryty tekst pozostaje zaskakująco efektywnym sposobem omijania filtrów, także tych wspieranych przez sztuczną inteligencję.
Dla zespołów bezpieczeństwa to wyraźny sygnał, że ochrona poczty nie może opierać się wyłącznie na słowach kluczowych, reputacji ani deklaratywnej „analizie AI”. Potrzebna jest pełna analiza kontekstu wiadomości, renderowania treści oraz intencji ataku. W przeciwnym razie nawet proste kampanie phishingowe będą nadal skutecznie trafiać do skrzynek odbiorczych.
Źródła
- 1M+ Emails Use Hidden Text to Dupe AI Security Filters — https://www.darkreading.com/threat-intelligence/1m-emails-hidden-text-dupe-ai-security-filters
- Hidden text in emails: an old spam tactic that is now fooling AI-based detection — https://blog.barracuda.com/2026/07/15/hidden-text-in-emails-an-old-spam-tactic-that-is-now-fooling-ai-based-detection
- Secure email gateway (SEG) — https://www.techtarget.com/searchsecurity/definition/secure-email-gateway
- DomainKeys Identified Mail (DKIM) — https://www.techtarget.com/searchsecurity/definition/DomainKeys-Identified-Mail-DKIM