Una tecnica nata nell’ambito della sicurezza dell’intelligenza artificiale sta trovando una nuova applicazione nelle campagne di phishing: Microsoft, infatti, avrebbe individuato una campagna ad alto volume che sfrutta l’ASCII smuggling, ossia l’utilizzo di caratteri Unicode invisibili per modificare il modo in cui un contenuto viene interpretato dai sistemi informatici senza alterarne l’aspetto percepito dall’utente.
Il caso analizzato dai ricercatori Microsoft sarebbe particolarmente interessante perché non riguarda direttamente un attacco contro un modello di intelligenza artificiale: infatti, gli stessi caratteri invisibili utilizzati per nascondere istruzioni a un essere umano e renderle invece leggibili a un modello AI sono stati impiegati per confonderei i sistemi di rilevamento delle e-mail di phishing.
Indice degli argomenti
Cos’è l’ASCII smuggling
L’ASCII smuggling sfrutta principalmente caratteri appartenenti al blocco Unicode Tags, compreso tra U+E0000 e U+E007F. Questi caratteri non vengono normalmente visualizzati dalle interfacce grafiche, ma rimangono presenti nel contenuto testuale e possono quindi essere elaborati da software e modelli linguistici.
Nel contesto dell’AI, la tecnica può essere utilizzata per inserire istruzioni nascoste all’interno di una pagina web, di un documento o di un messaggio. Una persona visualizza un contenuto apparentemente innocuo mentre un sistema di intelligenza artificiale che analizza il testo originale può interpretare anche le informazioni nascoste.
La campagna scoperta da Microsoft utilizza invece lo stesso principio ma con l’obiettivo di nascondere parole chiave utilizzate dai sistemi antiphishing.
Le parole del phishing vengono spezzate
I ricercatori hanno osservato che i caratteri invisibili venivano inseriti all’interno di termini associati alle offerte finanziarie.
Una parola come “funding”, ad esempio, poteva essere trasmessa con un carattere Unicode invisibile nel mezzo (⟨U+E0020⟩ lo spazio tag Unicode), trasformandosi a livello tecnico in una sequenza equivalente a “fun”, spazio e “ding”.
Per il destinatario, il risultato rimane sostanzialmente invariato in quanto il testo continua ad apparire come una normale parola. Per un sistema che effettua una semplice ricerca della stringa funding, invece, la sequenza non contiene più quella parola in forma contigua.
Lo stesso principio può influenzare anche alcuni sistemi basati su tokenizzazione e analisi NLP, perché l’inserimento di un carattere inatteso può modificare il modo in cui il testo viene suddiviso e interpretato.
Ecco un esempio di e-mail di phishing della campagna osservata e di come appare il relativo codice sorgente HTML. I rettangoli gialli evidenziano la presenza del carattere Unicode invisibile ⟨U+E0020⟩ inserito allo scopo di spezzare le parole chiave a tema finanziario (credit, offer, cost etc) presenti nel corpo del messaggio di posta elettronica e potenzialmente intercettabili dai filtri antispam.
Fonte: Microsoft.
Una campagna su larga scala
Sebbene l’impiego di caratteri invisibili per eludere i sistemi di sicurezza non sia comunque una tecnica nuova, Microsoft evidenzia che in questo caso la particolarità riguarda l’utilizzo dei caratteri del blocco Unicode Tags (passato agli onori di cronaca grazie alla ricerca sulla sicurezza dell’IA relativa all’ASCII smuggling e al prompt injection) e soprattutto la notevole scala raggiunta dall’operazione.
Infatti, la campagna individuata da Microsoft ha raggiunto dimensioni significative a partire dal 9 febbraio 2026, quando il volume dei messaggi è passato dai circa 21.000 rilevati il giorno precedente a oltre 1,3 milioni, raggiungendo il picco di oltre 2,3 milioni l’11 febbraio.
Fonte: Microsoft.
L’attività è proseguita per circa tre mesi, concentrandosi soprattutto nei giorni lavorativi e riducendosi sensibilmente durante i fine settimana. Sempre secondo il rapporto, in circa il 96% dei messaggi rilevati gli attaccanti avrebbero utilizzato almeno 148 domini temporanei legati a temi come finanziamenti, prestiti e linee di credito.
Inoltre, per distribuire le e-mail, gli attaccanti avrebbero sfruttato anche l’infrastruttura di ActiveCampaign, una legittima piattaforma utilizzata dalle aziende per realizzare e inviare campagne di e-mail marketing.
In particolare, i link contenuti nei messaggi venivano gestiti attraverso i sistemi utilizzati dalla piattaforma per il tracciamento dei click.
Questo significa che, invece di collegare direttamente la vittima al sito malevolo, il collegamento poteva passare prima attraverso un dominio associato a un servizio legittimo.
Fonte: Microsoft.
Una tecnica di questo tipo può rendere più difficile per i sistemi di sicurezza individuare immediatamente la destinazione fraudolenta, perché il dominio visualizzato o analizzato inizialmente appartiene a un’infrastruttura conosciuta e normalmente utilizzata per attività legittime.
Gli attaccanti hanno quindi combinato servizi legittimi, domini temporanei e tecniche di offuscamento per aumentare le possibilità che le e-mail raggiungessero le caselle degli utenti.
Al riguardo, ActiveCampaign, avvisata da Microsoft in modo responsabile prima della divulgazione, ci ha tenuto a chiarire che l’offuscamento non modifica di per sé il verdetto di moderazione delle e-mail da parte dei propri sistemi di sicurezza e che un suo utilizzo massiccio rappresenta comunque un indicatore di attività sospetta.
Dall’AI alla cyber security tradizionale
Questo caso mostra come una tecnica studiata inizialmente per sfruttare le differenze tra ciò che un essere umano vede e ciò che un sistema di intelligenza artificiale interpreta possa essere utilizzata anche contro i sistemi di sicurezza tradizionali.
Inserendo caratteri Unicode invisibili all’interno di una parola, infatti, gli attaccanti possono fare in modo che il testo appaia normale all’utente, ma venga interpretato in modo diverso da un sistema automatico.
Una parola potenzialmente sospetta può quindi non essere riconosciuta correttamente da un filtro che cerca specifiche stringhe o parole chiave, aumentando le possibilità che il messaggio superi i controlli.
Per ridurre questo rischio, i sistemi di sicurezza devono prima normalizzare il testo, cioè trasformarlo in una forma coerente eliminando o gestendo correttamente i caratteri che possono alterarne l’interpretazione.
Solo dopo questa operazione il contenuto dovrebbe essere analizzato per individuare parole sospette, link e altri indicatori di phishing.
La vicenda dimostra, quindi, che la sicurezza delle e-mail non può basarsi esclusivamente su ciò che appare sullo schermo, ma deve verificare anche il contenuto effettivamente ricevuto ed elaborato dai sistemi automatici.
L’ASCII smuggling rappresenta così un esempio concreto di come tecniche nate nel campo della sicurezza dell’AI possano essere riutilizzate dagli attaccanti per aggirare i tradizionali sistemi di protezione.
Partecipa alla community