Neviditelné znaky Unicode pomohly phishingu projít e-mailovými filtry

Útočníci nemusí vždy používat překlepy ani nápadně podivný text, aby obešli filtr. Ve phishingové kampani, kterou Microsoft sledoval od února do poloviny května 2026, působily škodlivé formulace na příjemce normálně. Neviditelné znaky Unicode však změnily podobu textu, jakou zpracovávaly některé e-mailové bezpečnostní systémy. 1

Microsoft techniku označuje jako ASCII smuggling. Původně se rozšířila ve výzkumu prompt injection pro AI, zde ale posloužila k ukrytí finančně laděných phishingových výrazů před e-mailovou obranou. 1

Co útočníci změnili

Kampaň vkládala do lákavých slov, jako jsou „funding“, „loan“ a „credit“, nevykreslované znaky Unicode Tags. V e-mailu mohla tato slova na pohled vypadat zcela běžně. Na úrovni znaků ale už nešlo o jeden souvislý řetězec. 1

To je problém pro ochranu založenou na doslovné shodě klíčových slov, signaturách nebo regulárních výrazech. Pravidlo hledající nepřerušený finanční termín nemusí uspět, pokud mezi viditelnými písmeny leží skryté znaky. Microsoft zároveň upozorňuje, že různé parsery a navazující systémy mohou s neobvyklými znaky zacházet odlišně, což detekci dále komplikuje. 1

Jde o převrácení obvyklého použití této techniky při útocích na AI. Tam mohou neviditelné znaky skrýt instrukce před člověkem, ale zpřístupnit je jazykovému modelu. V tomto případě měl viditelný text přesvědčit příjemce, zatímco skutečná znaková posloupnost měla ztížit analýzu e-mailu. 1

Miliony zpráv s falešnými úvěrovými nabídkami

Telemetrie Microsoftu ukázala prudký nárůst aktivity od 9. února a vysoký objem ve všední dny po dobu přibližně tří měsíců. Kampaň podle Microsoftu dosáhla více než 2,3 milionu zpráv za jediný den. 1

E-maily nabízely fiktivní podnikatelské úvěry a kreditní produkty. Operace využívala jednorázové domény odesílatelů a infrastrukturu ActiveCampaignu, tedy služby pro hromadné rozesílání marketingových kampaní. Provoz tak mohl připomínat legitimní marketingovou poštu více než běžné rozesílání z napadeného e-mailového serveru. 1

Microsoft uvedl, že ActiveCampaign zneužití prověřil a proti označeným účtům zakročil. Případ připomíná, že i legitimní rozesílací služby lze zneužít, přestože jejich provozovatelé mají mechanismy proti spamu a zneužívání. 1

První krok: normalizace Unicode

Nejpřímější obrana je jednoduchá: normalizovat Unicode dříve, než začne textová detekce. Microsoft doporučuje znaky Unicode Tags a řídicí znaky odhalit, odstranit nebo označit ještě před kontrolou klíčových slov, signatur a regulárních výrazů. 1

Pro bezpečnostní týmy to má být součástí širšího řetězce ochrany e-mailu:

• Normalizujte a kontrolujte text co nejdříve. Udělejte to před porovnáváním obsahu i před předáním dat do dalších parserů či klasifikátorů. 1
• Testujte každou vrstvu zpracování. E-mailové brány, parsery, klasifikátory a navazující nástroje mohou neobvyklé znaky interpretovat rozdílně. 1
• Nespoléhejte jen na shodu obsahu. Microsoft používá také reputaci odesílatele, IP adresy, URL a domény, ověřování, klasifikaci pomocí strojového učení i detekci vydávání se za jinou osobu či organizaci. 1
• Vyhledávejte neobvyklé použití Unicode. Neviditelné nebo řídicí znaky vložené do zdánlivě běžného marketingového sdělení jsou důvodem k prověření. 1

Normalizace nenahradí ostatní bezpečnostní vrstvy. Zabrání však tomu, aby jedna úzká technika obcházení znefunkčnila jinak užitečné obsahové kontroly.

Stejná opatrnost pro AI asistenty, kteří čtou e-maily

Riziko se netýká jen tradičních filtrů doručené pošty. Firmy stále častěji předávají e-maily asistentům, nástrojům pro shrnování, automatizaci pracovních postupů a agentním systémům. Microsoft doporučuje považovat e-mail předaný těmto systémům za nedůvěryhodný vstup: před zpracováním modelem jej normalizovat a kontrolovat, chránit se před prompt injection a omezovat nástroje i oprávnění automatizovaných agentů. 1

Bez těchto opatření se útočník může pokusit zasáhnout dvě vrstvy najednou: klasickou e-mailovou ochranu i AI systém, který zprávu později čte nebo podle ní jedná.

AI techniky se mohou přesouvat do starých útoků

ASCII smuggling neznamená, že se z každé techniky prompt injection stane spamová metoda. Ukazuje ale, že postupy vyvinuté nebo zpopularizované v oblasti bezpečnosti AI lze levně znovu použít ve známých kanálech, jako je phishing. 1

Důležitost vícevrstvé ochrany podtrhuje i samostatná studie vedená University of Waterloo a organizací FAR.AI. Ta zjistila, že všech 21 testovaných jazykových modelů s otevřenými vahami bylo možné upravit tak, aby obešly své bezpečnostní ochrany. Závěr se týká konkrétně testovaných open-weight modelů a nedokazuje, že je použila tato phishingová kampaň. Přináší však praktické ponaučení: při posuzování zneužití ve velkém měřítku se organizace nemají spoléhat pouze na zábrany zabudované v modelu.

Pro správce e-mailové bezpečnosti je priorita konkrétní: udělat z normalizace textu standardní krok před zpracováním, ověřovat chování v celém e-mailovém řetězci a počítat s tím, že nové způsoby maskování z prostředí AI se mohou objevit i v tradičních útocích sociálního inženýrství.