Co znajdziesz w tym artykule?
Wprowadzenie do problemu
Ukryty tekst w wiadomościach e-mail, określany także jako text salting, to technika polegająca na osadzaniu w treści dodatkowych słów, zdań lub całych fragmentów niewidocznych dla odbiorcy, ale analizowanych przez systemy bezpieczeństwa. Celem jest zafałszowanie oceny wiadomości przez filtry antyspamowe, bramki pocztowe oraz narzędzia wykorzystujące sztuczną inteligencję do wykrywania phishingu.
Najnowsze obserwacje pokazują, że ta metoda pozostaje skuteczna również wobec nowoczesnych silników analizy treści. Problem jest istotny, ponieważ atakujący nie muszą już wyłącznie omijać prostych reguł — coraz częściej próbują manipulować także modelami językowymi odpowiedzialnymi za klasyfikację zagrożeń.
W skrócie
- Od kwietnia zaobserwowano ponad milion phishingowych wiadomości wykorzystujących ukryty tekst.
- Kampanie dotyczyły głównie fałszywych nagród, punktów lojalnościowych i kart podarunkowych.
- Technika pozwala omijać zarówno klasyczne filtry, jak i część systemów bezpieczeństwa opartych na AI.
- Cyberprzestępcy łączą stare metody manipulacji HTML z możliwościami generatywnej sztucznej inteligencji.
Kontekst i historia
Text salting nie jest nową metodą. Już wiele lat temu atakujący rozbijali podejrzane frazy dodatkowymi znakami, neutralnymi słowami lub losową treścią, aby obniżyć skuteczność klasycznych filtrów antyspamowych. W tamtym okresie mechanizmy ochronne opierały się przede wszystkim na wykrywaniu charakterystycznych słów kluczowych, prostych wzorców językowych i podstawowych sygnałów behawioralnych.
Dziś technika wraca w odświeżonej formie. Zmieniło się przede wszystkim środowisko obronne, ponieważ organizacje coraz częściej wdrażają rozwiązania analizujące kontekst wiadomości z użyciem AI. Jednocześnie cyberprzestępcy wykorzystują modele generatywne do szybkiego tworzenia tekstów maskujących, modyfikowania kodu HTML i skalowania kampanii phishingowych. To sprawia, że dawne techniki obchodzenia zabezpieczeń zyskują nową skuteczność i znacznie większą skalę.
Analiza techniczna
Mechanizm działania opiera się na różnicy między tym, co widzi użytkownik, a tym, co analizuje system bezpieczeństwa. Odbiorca widzi pozornie prostą wiadomość z zachętą do kliknięcia, natomiast silnik ochronny przetwarza również pełną warstwę HTML oraz osadzony w niej dodatkowy tekst.
Atakujący dodają neutralne słowa, nieszkodliwe zdania albo dłuższe bloki zwykłego tekstu, które mają rozmyć sygnały świadczące o spamie lub phishingu. W efekcie modele analityczne mogą błędnie uznać wiadomość za mniej podejrzaną, ponieważ złośliwa treść zostaje „rozcieńczona” dodatkowymi elementami semantycznymi.
Ukrywanie takich danych odbywa się zwykle z użyciem prostych, ale skutecznych manipulacji HTML i CSS.
- Ustawienie rozmiaru czcionki na zero.
- Umieszczenie tekstu w kontenerze o zerowej wysokości lub szerokości.
- Przesunięcie zawartości poza widoczny obszar ekranu.
- Ukrycie pasków przewijania, aby dodatkowa treść nie była zauważalna.
- Łączenie kilku metod maskowania jednocześnie.
Z perspektywy ochrony poczty problem jest bardziej złożony, ponieważ sama reputacja nadawcy nie wystarcza. Część obserwowanych wiadomości korzystała z prawidłowego DKIM, część była wysyłana z domen podobnych do znanych marek, a część z legalnych, lecz przejętych serwisów. Oznacza to, że kontrola techniczna może nie wykryć zagrożenia, jeśli analiza treści zostanie skutecznie zmanipulowana.
Właśnie na etapie klasyfikacji treści text salting okazuje się szczególnie niebezpieczny. Jeżeli model wykrywania opiera się na słowach kluczowych, statystyce językowej albo uproszczonej ocenie semantycznej, dodatkowy ukryty tekst może istotnie zaburzyć wynik analizy. Nawet systemy próbujące odsłaniać niewidoczną treść nie zawsze radzą sobie z wielowarstwowym ukrywaniem.
Konsekwencje i ryzyko
Najważniejszym skutkiem jest wzrost liczby phishingowych wiadomości, które trafiają bezpośrednio do skrzynek odbiorczych. To zwiększa prawdopodobieństwo kliknięcia w złośliwy link, podania danych logowania lub uruchomienia dalszego etapu oszustwa.
Dla organizacji ryzyko obejmuje zarówno skutki operacyjne, jak i strategiczne.
- Przejęcie kont użytkowników i eskalację uprawnień.
- Kradzież danych dostępowych do usług SaaS i poczty.
- Naruszenie ochrony danych osobowych.
- Wykorzystanie przejętych skrzynek do dalszego phishingu wewnętrznego.
- Obniżenie skuteczności inwestycji w systemy bezpieczeństwa oparte na AI.
Istotne jest również ryzyko strategiczne. Wiele firm traktuje AI jako warstwę zwiększającą skuteczność ochrony przed zagrożeniami, jednak opisywane kampanie pokazują, że modele językowe mogą być wykorzystywane asymetrycznie na korzyść atakujących. Przestępcy używają ich do szybkiego generowania i mutowania kampanii, podczas gdy systemy ochronne nadal mają trudności z poprawną interpretacją ukrytego kontekstu.
Rekomendacje
Organizacje powinny traktować ukryty tekst w wiadomościach e-mail jako pełnoprawny wskaźnik zagrożenia, a nie wyłącznie historyczną metodę obchodzenia filtrów antyspamowych. Skuteczna obrona wymaga połączenia analizy technicznej, analizy treści oraz polityk bezpieczeństwa poczty.
- Porównywać treść widoczną dla użytkownika z pełną treścią renderowaną i nierenderowaną.
- Wykrywać podejrzane użycie HTML i CSS, w tym elementy o zerowym rozmiarze oraz ukryte kontenery.
- Analizować relacje między treścią wiadomości, linkami, marką i infrastrukturą nadawcy.
- Wzmacniać polityki SPF, DKIM i DMARC, bez traktowania poprawnego uwierzytelnienia jako gwarancji bezpieczeństwa.
- Szkolić użytkowników w zakresie rozpoznawania wiadomości wykorzystujących pilność, obietnice nagród i inne schematy socjotechniczne.
Podsumowanie
Kampanie phishingowe wykorzystujące ukryty tekst pokazują, że nawet proste techniki obchodzenia filtrów mogą pozostawać bardzo skuteczne, zwłaszcza gdy zostaną połączone z możliwościami generatywnej AI. Skala przekraczająca milion wiadomości wskazuje, że nie jest to problem eksperymentalny, lecz realne zagrożenie operacyjne dla organizacji.
Dla zespołów bezpieczeństwa oznacza to konieczność dokładniejszej analizy warstwy HTML, korelacji sygnałów technicznych i treściowych oraz ostrożniejszego podejścia do skuteczności samych mechanizmów AI w ochronie poczty elektronicznej.
Źródła
- https://www.darkreading.com/threat-intelligence/1m-emails-hidden-text-dupe-ai-security-filters
- https://blog.barracuda.com/
- https://www.techtarget.com/searchsecurity/definition/secure-email-gateway
- https://www.techtarget.com/searchsecurity/definition/DomainKeys-Identified-Mail-DKIM