Невидимые символы Unicode: как хакеры обходят фишинговые фильтры
Специалисты Microsoft зафиксировали масштабную фишинговую атаку, в которой злоумышленники применили технику «ASCII-контрабанды». Этот метод, ранее известный по скрытым промпт-инъекциям в ИИ-системы, теперь адаптирован для обхода традиционных почтовых фильтров. Суть атаки заключается во вставке невидимых символов из блока тегов Unicode (U+E0000–U+E007F) непосредственно в текст письма. Например, слово funding превращается в fun[невидимый символ]ding. Для получателя сообщение выглядит абсолютно нормальным, но автоматические лексические анализаторы перестают распознавать спам-слова.
Основной удар пришёлся на финансовый сектор: кредиты, инвестиции, займы. На пике активности рассылалось до 2,37 млн писем в день. Атака велась с 148 тематических доменов, а для доставки использовались мощности легитимного сервиса email-маркетинга ActiveCampaign. Это позволило злоумышленникам маскировать вредоносные сообщения под обычные рассылки. Хотя к середине мая объёмы снизились, операция всё ещё активна.
По данным Microsoft, антивирус Defender заблокировал более 99% сообщений. Система опиралась на альтернативные метрики: комплексный анализ репутации доменов, IP-адресов и истории отправителей. В компании рекомендуют расценивать любое присутствие символов из блока тегов в теле стандартного электронного письма как критическую аномалию. Это может быть признаком попытки обхода защитных механизмов.
Эксперты предупреждают: ASCII-контрабанда — это эволюция фишинга, требующая обновления методов фильтрации. Пользователям стоит проявлять бдительность, особенно при получении финансовых предложений от неизвестных отправителей. Даже если текст выглядит корректно, скрытые символы могут сигнализировать о вредоносном намерении. Microsoft продолжает мониторить ситуацию и призывает организации внедрять дополнительные проверки на уровне анализа сырых данных, а не только видимого текста.
