ASCII smuggling passa dall’AI al phishing: milioni di email aggirano i filtri

Una tecnica diventata nota nella sicurezza dell’intelligenza artificiale entra nel phishing tradizionale su scala milionaria. Microsoft Security Research ha individuato una campagna che inserisce caratteri Unicode invisibili all’interno di parole come funding, loan e altri termini finanziari, lasciando il testo perfettamente leggibile alla vittima ma modificando la sequenza elaborata dai sistemi automatici. L’attività emerge da una detection sviluppata originariamente da Microsoft Defender for Office 365 per trovare prompt injection nascoste nelle email. Dal 9 febbraio 2026 quella firma ha iniziato invece a intercettare milioni di messaggi di phishing: più di 1,3 milioni nel primo giorno di picco e oltre 2,3 milioni nelle giornate più intense.

Il carattere invisibile U+E0020 spezza la parola senza cambiarla per l’occhio umano

Nella ricerca tecnica pubblicata da Microsoft Security Research il punto di partenza è il blocco Unicode Tags U+E0000-U+E007F, una porzione dello standard che contiene una sorta di copia dei caratteri ASCII ma che normalmente non viene rappresentata dai font e dalle interfacce. Nell’ASCII smuggling classico questi code point possono nascondere istruzioni complete dentro documenti, email o pagine web: l’utente non vede nulla, mentre un modello linguistico che riceve il testo grezzo può leggere le istruzioni.

La campagna osservata da Microsoft usa però una variante molto più semplice. Non codifica un messaggio segreto completo: inserisce soprattutto U+E0020, TAG SPACE, nel mezzo di parole ad alta rilevanza. Funding, per esempio, può arrivare al filtro come fun<U+E0020>ding, pur continuando a essere visualizzato normalmente dal destinatario. È la stessa famiglia tecnica che Matrice Digitale aveva già analizzato nel 2024 nel caso dell’ASCII smuggling contro Microsoft 365 Copilot, ma qui l’obiettivo non è manipolare l’assistente AI: è far perdere significato al testo prima che venga valutato dal filtro antiphishing.

Leggi anche: Microsoft avverte sul tool poisoning MCP e sul rischio di esfiltrazione tramite agenti AI

La detection nata per la prompt injection trova invece milioni di messaggi finanziari

La scoperta avviene quasi per effetto collaterale. Microsoft stava sviluppando logiche di hunting per individuare cross-prompt injection e prompt obfuscation nelle email destinate a sistemi AI quando, il 9 febbraio, il numero di corrispondenze sulla firma Unicode è esploso. Il giorno precedente erano stati osservati circa 21.000 messaggi; il 9 febbraio il valore è salito oltre 1,3 milioni. Il cluster ha poi raggiunto picchi giornalieri superiori a 2,3 milioni di email, con volumi tra uno e 2,37 milioni nei giorni lavorativi.

La fase ad alta intensità è durata circa tre mesi e si è ridotta bruscamente dopo il 15 maggio, lasciando attività residuale fino a metà giugno. Anche il ritmo è significativo: il traffico collassava quasi completamente durante i weekend e ripartiva il lunedì, comportamento compatibile con infrastrutture automatizzate di bulk sending programmate su cicli settimanali. Microsoft precisa che queste date delimitano esclusivamente la fase nella quale venivano utilizzati i caratteri Unicode Tags: la campagna più ampia esisteva già prima e ha continuato a operare anche dopo l’abbandono della tecnica.

Il phishing imita prestiti e linee di credito attraverso circa 150 domini finanziari

L’analisi collega gran parte dei messaggi a circa 150 domini mittenti costruiti attorno a un vocabolario finanziario ricorrente: capital, funding, loan, finance, business, growth, express, boost, guardian. Il solo 9 febbraio Microsoft ha contato 148 domini della famiglia, con nomi come guardiangrowthfunding, digitalcapitalboost e thebusinessloanexpress. Il pattern corrisponde a esche su business loan, linee di credito e advance funding, potenzialmente destinate a frodi o raccolta delle credenziali.

Circa il 96% del volume intercettato dalla firma appartiene a questo cluster finanziario. La tecnica non necessita quindi di costruire una falsa pagina Microsoft o intercettare MFA come nelle campagne AiTM; tenta prima di tutto di superare il livello di classificazione iniziale della posta. È una differenza importante rispetto al phishing Microsoft 365 che usa device code, token e proxy per ottenere direttamente sessioni valide: in questo caso l’innovazione è concentrata sulla consegna e sull’evasione del filtro, non necessariamente sul meccanismo utilizzato dopo il click.

Un carattere invisibile può rompere keyword, regex e tokenizzazione dei modelli ML

Il problema riguarda sia le difese tradizionali sia quelle basate sul machine learning. Un filtro elementare che cerca letteralmente la stringa funding può non trovarla più se tra le lettere viene inserito U+E0020. Lo stesso può accadere con una regex che non preveda caratteri invisibili interposti. Ma Microsoft evidenzia soprattutto il rischio per tokenizer e classificatori NLP. Un modello può avere appreso funding come token frequente o come sequenza stabile di sub-token; aggiungendo un code point raro, il testo può essere segmentato in fun, carattere Unicode inatteso e ding, alterando la rappresentazione utilizzata dal classificatore.

Non significa che ogni sistema ML venga automaticamente aggirato: tutto dipende dalla normalizzazione eseguita prima della tokenizzazione. Se U+E0020 viene rimosso a monte, la parola torna immediatamente alla forma originaria. La tecnica dimostra però quanto il phishing alimentato dall’AI e gli strumenti di evasione stiano spostando l’attacco verso il funzionamento interno dei classificatori, non soltanto verso la capacità dell’utente di riconoscere una pagina falsa.

ActiveCampaign viene abusata per ottenere reputazione e tracking legittimi

La campagna utilizza inoltre infrastrutture associate alla piattaforma legittima di email marketing ActiveCampaign. I domini finanziari rappresentano il brand visualizzato nel mittente, ma molti messaggi vengono materialmente inoltrati attraverso il servizio e i collegamenti sono riscritti sui domini di tracking activehosted[.]com e acemlnd[.]com. Questa scelta offre agli aggressori un vantaggio simile a quello già osservato quando vengono abusati servizi cloud, OAuth o piattaforme SaaS: reputazione IP, autenticazione e infrastruttura legittima possono rendere il traffico più simile a normali comunicazioni commerciali. Microsoft ha condiviso i risultati con ActiveCampaign prima della pubblicazione. La società afferma che i propri sistemi di moderazione assegnano alle email contenenti Unicode invisibile lo stesso verdetto delle versioni non offuscate e che un uso massiccio di questi caratteri viene considerato esso stesso sospetto. Microsoft precisa inoltre che il blocco 173.236.20[.]0/24, dal quale proveniva circa il 92% del volume misurato in due settimane, appartiene a infrastruttura condivisa legittima e non deve essere utilizzato come IOC autonomo. Lo stesso principio vale per i domini di tracking: bloccarli indiscriminatamente colpirebbe anche mittenti leciti.

Defender intercetta oltre il 99% dei messaggi senza dipendere dalla firma Unicode

L’aspetto più interessante dal punto di vista difensivo è che Defender for Office 365 non dipende dalla sola detection dell’ASCII smuggling. Microsoft riferisce che oltre il 99% dei messaggi della campagna è stato classificato attraverso altri livelli: reputazione del mittente, IP e dominio, analisi degli URL, modelli ML per spam e phishing, controlli di autenticazione, rilevamento dell’impersonificazione e analisi OCR del contenuto visuale. Proprio l’OCR rappresenta una risposta efficace all’evasione Unicode: il sistema può renderizzare il messaggio come immagine, leggere ciò che vede realmente l’utente e ottenere nuovamente la parola funding indipendentemente dalla rappresentazione sottostante. Il vantaggio di una difesa multilivello emerge anche nel phishing AiTM contro Microsoft 365, dove un singolo controllo come l’MFA non è più sufficiente a bloccare la compromissione. ASCII smuggling non crea quindi una falla universale nei filtri Microsoft: mette in evidenza un possibile detection gap nelle pipeline che non normalizzano correttamente Unicode prima della classificazione.

Continua con:

• NovaCookies industrializza il phishing AiTM contro Microsoft 365
• Falso Codice di Condotta aggira l’MFA e ruba token a 35.000 utenti

Normalizzare Unicode prima della detection diventa una regola valida anche per gli agenti AI

La mitigazione indicata da Microsoft è netta: normalizzare prima di cercare corrispondenze. Caratteri del blocco U+E0000-U+E007F e altri code point invisibili o zero-width devono essere rimossi o normalizzati prima di applicare keyword, regex, classificatori e altre regole basate sul contenuto. La semplice presenza di tag Unicode può inoltre diventare un segnale ad alta confidenza perché, fuori da pochi casi legittimi come le bandiere regionali di Inghilterra, Scozia e Galles, questi caratteri sono estremamente rari nelle normali email. Microsoft suggerisce di combinare il segnale con domini finanziari usa e getta, forme ricorrenti dell’envelope sender, tracking URL e cadenza del traffico anziché bloccare singole infrastrutture condivise. La stessa normalizzazione deve avvenire prima che il testo venga consegnato agli assistenti AI, perché ciò che oggi viene usato per rompere un filtro può domani tornare a nascondere istruzioni di prompt injection. È questo il dato più rilevante della ricerca: una tecnica nata per sfruttare la distanza tra ciò che vede l’uomo e ciò che legge un modello è stata riutilizzata per sfruttare la distanza tra ciò che vede l’uomo e ciò che legge un filtro antiphishing. La separazione tra sicurezza AI e sicurezza tradizionale sta diventando sempre meno sostenibile.