Usynlige Unicode-tegn lod phishingmails slippe forbi filtre

Angribere behøver ikke nødvendigvis stavefejl eller mærkeligt formulerede mails for at omgå et filter. I en phishingkampagne, som Microsoft fulgte fra februar til midten af maj 2026, så den skadelige tekst almindelig ud for modtageren. Men usynlige Unicode-tegn ændrede det, nogle mailbehandlingssystemer faktisk læste. 1

Microsoft kalder metoden ASCII-smugling (ASCII smuggling). Den blev oprindeligt kendt fra forskning i prompt-injektion mod AI, men blev her brugt til at skjule finansrelaterede phishingord for e-mailforsvar. 1

Ordene så normale ud – men var teknisk set delt op

Kampagnen indsatte ikke-visende Unicode Tag-tegn inde i lokkeord som “funding”, “loan” og “credit”. I en mail kunne ordene derfor se helt intakte ud. På tegnniveau var de imidlertid ikke længere én sammenhængende tekststreng. 1

Det er afgørende, hvis et forsvarssystem bygger på præcise nøgleord, signaturer eller regulære udtryk. En regel, der søger efter et ubrudt finansielt udtryk, rammer muligvis ikke, når skjulte tegn ligger mellem de synlige bogstaver. Microsoft peger også på, at forskellig håndtering hos parserne og efterfølgende systemer kan gøre det sværere at opdage angrebet. 1

Metoden vender den typiske brug af prompt-injektion på hovedet. I AI-relaterede angreb kan usynlige tegn skjule instrukser for et menneske, mens de stadig kan læses af en model. Her var den synlige lokketekst rettet mod modtageren, mens den underliggende tegnsekvens skulle forstyrre mailanalysen. 1

Millioner af falske lånetilbud

Microsofts telemetri viste en markant stigning i aktiviteten fra 9. februar, hvorefter den forblev høj på hverdage i cirka tre måneder. Kampagnen nåede ifølge Microsoft op på mere end 2,3 millioner beskeder på én dag. 1

Mailene reklamerede for opdigtede tilbud om erhvervslån og kredit. Angriberne brugte midlertidige afsenderdomæner og infrastruktur fra ActiveCampaign, hvilket kunne få trafikken til at ligne almindelig masseudsendt markedsføring frem for mails fra en traditionelt kompromitteret mailserver. 1

Microsoft oplyser, at ActiveCampaign undersøgte misbruget og handlede over for de identificerede konti. Sagen viser, at selv legitime udsendelsestjenester kan misbruges, selv om udbyderen har tiltag mod misbrug. 1

Unicode-normalisering bør ske før tekstfiltrering

Det mest direkte forsvar er enkelt: Normalisér Unicode, før den tekstbaserede detektion går i gang. Microsoft anbefaler at opdage, fjerne eller markere Unicode Tag-tegn og kontroltegn, før man anvender nøgleordsregler, signaturer eller analyser med regulære udtryk. 1

For sikkerhedsteams bør det indgå i et bredere forsvar af mailstrømmen:

• Normalisér og undersøg mailteksten tidligt. Det skal ske før indholdsmatchning og før data sendes videre til senere parser- eller klassifikationsled. 1
• Test alle lag i behandlingskæden. Gateways, parsere, klassifikatorer og efterfølgende værktøjer kan fortolke usædvanlige tegn forskelligt. 1
• Stol ikke kun på indholdsmatchning. Microsoft fremhæver også afsender-, IP-, URL- og domæneomdømme, autentificering, maskinlæringsklassifikation og registrering af efterligning. 1
• Led efter unormal Unicode-brug. Usynlige tegn eller kontrollignende tegn indlejret i ellers almindelig markedsføringstekst er et relevant signal til nærmere undersøgelse. 1

Normalisering erstatter ikke resten af sikkerhedsstakken. Den forhindrer blot, at én snæver omgåelsesteknik gør ellers nyttige indholdskontroller virkningsløse. Omdømmebaserede kontroller og øvrig phishingbeskyttelse er stadig afgørende for, om hele mailen bliver stoppet.

AI-assistenter, der læser mail, skal beskyttes på samme måde

Risikoen gælder ikke kun traditionelle indbakkefiltre. Flere organisationer sender i dag e-mails videre til copiloter, opsummeringsværktøjer, workflow-automatisering og agentsystemer. Microsoft anbefaler at behandle e-mail, der vises for disse systemer, som utroværdigt input: normalisér og undersøg indholdet før modellen får det, beskyt mod prompt-injektion, og begræns de værktøjer og rettigheder, automatiserede agenter har. 1

Uden de kontroller kan en angriber forsøge at ramme to mål samtidig: den traditionelle mail-sikkerhedskæde og et AI-system, der senere læser eller handler på beskeden.

AI-relaterede omgåelser kan flytte ind i gamle angrebskanaler

ASCII-smugling betyder ikke, at enhver teknik fra prompt-injektion bliver til spam. Men kampagnen viser, at metoder udviklet eller udbredt i AI-sikkerhed kan genbruges billigt i velkendte kanaler som phishingmails. 1

Det gør forsvar i dybden vigtigere, ikke mindre. En særskilt undersøgelse ledet af University of Waterloo og FAR.AI viste, at alle 21 testede sprogmodeller med åbne modelvægte kunne modificeres, så deres sikkerhedsbeskyttelse blev omgået. Resultatet gælder de testede åbne modeller og dokumenterer ikke, at en bestemt phishingkampagne brugte en sådan model. Men det understreger et praktisk sikkerhedspunkt: Beskyttelse indbygget i modellen bør ikke være den eneste kontrol, organisationer stoler på ved vurdering af misbrug i stor skala.

For dem, der forsvarer e-mailmiljøer, er prioriteten konkret: Gør tekstnormalisering til et fast forbehandlingstrin, afprøv hele mailbehandlingskæden, og forvent, at nye AI-relaterede skjuleteknikker med tiden kan dukke op i velkendte social-engineering-angreb.