उत्तरप्रकाशित11 स्रोत
ASCII Smuggling: दिखता था ‘लोन’, फ़िल्टर को नहीं दिखता था पूरा शब्द
फरवरी से मध्य मई 2026 तक चले फाइनेंस थीम वाले फिशिंग अभियान में अदृश्य Unicode Tag कैरेक्टर का इस्तेमाल कर ‘funding’, ‘loan’ और ‘credit’ जैसे शब्दों को बीच में तोड़ा गया। माइक्रोसॉफ्ट टेलीमेट्री में अभियान एक दिन में 23 लाख से अधिक संदेशों तक पहुंचा। यह फर्जी बिज़नेस लोन और क्रेडिट ऑफर भेजता था तथा डिस्पोज़ेबल डोमेन...
प्रकाशितकर्ताGPT-5.6 Terra से संपादितGPT Image 2 से चित्र बनाए गए
शोध उत्तर
मुख्य निष्कर्ष
- फरवरी से मध्य मई 2026 तक चले फाइनेंस थीम वाले फिशिंग अभियान में अदृश्य Unicode Tag कैरेक्टर का इस्तेमाल कर ‘funding’, ‘loan’ और ‘credit’ जैसे शब्दों को बीच में तोड़ा गया।
- माइक्रोसॉफ्ट टेलीमेट्री में अभियान एक दिन में 23 लाख से अधिक संदेशों तक पहुंचा। यह फर्जी बिज़नेस लोन और क्रेडिट ऑफर भेजता था तथा डिस्पोज़ेबल डोमेन और ActiveCampaign इन्फ्रास्ट्रक्चर का उपयोग करता था।
- मुख्य बचाव है: कीवर्ड, सिग्नेचर और रेगुलर एक्सप्रेशन जांच से पहले Unicode टेक्स्ट को नॉर्मलाइज़ और निरीक्षण करना; साथ ही ईमेल पढ़ने वाले AI असिस्टेंट को अविश्वसनीय इनपुट मानना।
AI संकेत
openai.comCreate a landscape editorial hero image for this Studio Global article: How did a large-scale phishing campaign detected by Microsoft from February to mid-May 2026 use invisible Unicode tag characters—an ASCII-sm. Article summary: Microsoft observed a high-volume, finance-themed phishing operation from February to mid-May 2026 that repurposed “ASCII smuggling” from AI prompt-injection research. Invisible Unicode Tag characters were inserted inside. Topic tags: general, general web, user generated, academic, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks
फिशिंग ईमेल को फ़िल्टर से निकालने के लिए हमलावरों को हमेशा गलत वर्तनी या अटपटा दिखने वाला टेक्स्ट नहीं चाहिए। माइक्रोसॉफ्ट ने फरवरी से मध्य-मई 2026 के बीच जिस अभियान को ट्रैक किया, उसमें संदेश प्राप्त करने वाले व्यक्ति को शब्द सामान्य दिखाई देते थे। लेकिन उनके बीच डाले गए अदृश्य Unicode कैरेक्टर कुछ ईमेल-प्रोसेसिंग सिस्टम के लिए टेक्स्ट का स्वरूप बदल देते थे। 1
माइक्रोसॉफ्ट ने इस तकनीक को ASCII smuggling कहा है। इसे पहले AI प्रॉम्प्ट-इंजेक्शन शोध के संदर्भ में चर्चित किया गया था, लेकिन यहां इसका इस्तेमाल वित्तीय विषय वाले फिशिंग शब्दों को ईमेल सुरक्षा तंत्र से छिपाने में हुआ। 1
शब्द वही दिखे, मशीन को स्ट्रिंग अलग मिली
अभियान में हमलावरों ने “funding”, “loan” और “credit” जैसे लुभावने शब्दों के भीतर न दिखने वाले Unicode Tag कैरेक्टर जोड़े। ईमेल पढ़ने वाले व्यक्ति को ये शब्द पूरे और सामान्य दिख सकते थे, मगर कैरेक्टर-स्तर पर वे एक सतत स्ट्रिंग नहीं रह जाते थे। 1
यह अंतर उन सुरक्षा प्रणालियों के लिए अहम है जो सटीक कीवर्ड मिलान, सिग्नेचर या रेगुलर एक्सप्रेशन पर निर्भर करती हैं। यदि कोई नियम बिना टूटे हुए पूरे वित्तीय शब्द को खोजता है, तो दिखाई न देने वाले कैरेक्टर अक्षरों के बीच होने पर उसका मिलान विफल हो सकता है। माइक्रोसॉफ्ट ने यह भी चेतावनी दी कि अलग-अलग पार्सर और आगे की प्रोसेसिंग प्रणालियां ऐसे कैरेक्टर को अलग ढंग से संभाल सकती हैं, जिससे पहचान और जटिल हो जाती है। 1
AI प्रॉम्प्ट-इंजेक्शन में आम तौर पर अदृश्य कैरेक्टर का उपयोग इंसान से निर्देश छिपाकर मॉडल तक पहुंचाने के लिए किया जा सकता है। इस फिशिंग अभियान में लक्ष्य उलटा था: दिखने वाला संदेश व्यक्ति को लुभाने के लिए था, जबकि वास्तविक कैरेक्टर-क्रम ईमेल विश्लेषण को बाधित करने के लिए बनाया गया था। 1
लाखों संदेश और फर्जी बिज़नेस-लोन ऑफर
माइक्रोसॉफ्ट टेलीमेट्री के अनुसार, 9 फरवरी से गतिविधि में तेज उछाल आया और करीब तीन महीनों तक कार्यदिवसों में यह स्तर ऊंचा रहा। कंपनी की रिपोर्टिंग के मुताबिक, अभियान एक दिन में 23 लाख से अधिक संदेशों तक पहुंचा। 1
ईमेल में फर्जी बिज़नेस-लोन और क्रेडिट ऑफर भेजे गए। अभियान ने अस्थायी या डिस्पोज़ेबल प्रेषक डोमेन और ActiveCampaign इन्फ्रास्ट्रक्चर का उपयोग किया। इससे ट्रैफिक साधारण रूप से हैक किए गए ईमेल सर्वर के बजाय बड़े पैमाने पर होने वाली मार्केटिंग मेल जैसा दिख सकता था। 1
माइक्रोसॉफ्ट के अनुसार, ActiveCampaign ने इस दुरुपयोग की जांच की और पहचाने गए खातों पर कार्रवाई की। घटना यह दिखाती है कि एंटी-अब्यूज़ नियंत्रण होने के बावजूद वैध ईमेल-डिलीवरी सेवाओं का गलत इस्तेमाल किया जा सकता है। 1
बचाव का पहला कदम: Unicode normalization
सबसे सीधा उपाय है: टेक्स्ट-आधारित जांच शुरू होने से पहले Unicode को नॉर्मलाइज़ करना। माइक्रोसॉफ्ट की सलाह है कि कीवर्ड नियम, सिग्नेचर या regex विश्लेषण लागू करने से पहले Unicode Tag और नियंत्रण कैरेक्टर को पहचाना, हटाया या फ्लैग किया जाए। 1
सुरक्षा टीमों के लिए इसे व्यापक ईमेल-डिफेंस पाइपलाइन का हिस्सा होना चाहिए:
- टेक्स्ट को शुरुआती चरण में नॉर्मलाइज़ और जांचें। कंटेंट मैचिंग और बाद के पार्सिंग या क्लासिफिकेशन चरणों में डेटा भेजने से पहले यह करें।
1
- हर प्रोसेसिंग लेयर का परीक्षण करें। ईमेल गेटवे, पार्सर, क्लासिफायर और डाउनस्ट्रीम टूल असामान्य कैरेक्टर को अलग-अलग तरीके से पढ़ सकते हैं।
- सिर्फ कंटेंट मैचिंग पर निर्भर न रहें। माइक्रोसॉफ्ट ने बताया कि उसकी सुरक्षा में प्रेषक, IP, URL और डोमेन की प्रतिष्ठा; प्रमाणीकरण; मशीन-लर्निंग वर्गीकरण; और प्रतिरूपण पहचान जैसी परतें भी शामिल हैं।
- असामान्य Unicode उपयोग की खोज करें। सामान्य दिखने वाली मार्केटिंग भाषा के भीतर अदृश्य या नियंत्रण-जैसे कैरेक्टर जांच का महत्वपूर्ण संकेत हो सकते हैं।
Normalization सुरक्षा की बाकी परतों का विकल्प नहीं है। इसका काम यह सुनिश्चित करना है कि एक सीमित छलावा मौजूदा कंटेंट नियंत्रणों को बेअसर न कर दे; संदेश को रोकने में प्रतिष्ठा-आधारित जांच और एंटी-फिशिंग सुरक्षा अब भी महत्वपूर्ण रहती हैं।
ईमेल पढ़ने वाले AI असिस्टेंट के लिए भी वही सावधानी
जोखिम केवल पारंपरिक इनबॉक्स फ़िल्टर तक सीमित नहीं है। संगठन अब ईमेल को कोपायलट, सारांश बनाने वाले टूल, वर्कफ़्लो ऑटोमेशन और एजेंट सिस्टम में भेज रहे हैं। माइक्रोसॉफ्ट की सलाह है कि ऐसे सिस्टम के सामने आने वाले ईमेल को अविश्वसनीय इनपुट माना जाए: मॉडल तक पहुंचने से पहले उसे नॉर्मलाइज़ और जांचें, प्रॉम्प्ट इंजेक्शन से सुरक्षा रखें और स्वचालित एजेंटों के टूल तथा अधिकार सीमित रखें। 1
इन नियंत्रणों के बिना, छिपी सामग्री एक साथ दो लक्ष्यों को निशाना बना सकती है—पारंपरिक ईमेल-सुरक्षा पाइपलाइन और संदेश को बाद में पढ़ने या उस पर कार्रवाई करने वाला AI सिस्टम।
AI-युग की तरकीबें पुराने हमलों में भी पहुंच सकती हैं
ASCII smuggling का अर्थ यह नहीं कि हर प्रॉम्प्ट-इंजेक्शन तकनीक स्पैम का तरीका बन जाएगी। लेकिन यह जरूर दिखाता है कि AI सुरक्षा में विकसित या लोकप्रिय हुई तकनीकें कम लागत में फिशिंग ईमेल जैसे स्थापित हमले के माध्यमों में दोबारा इस्तेमाल हो सकती हैं। 1
यूनिवर्सिटी ऑफ वॉटरलू और FAR.AI के नेतृत्व वाले एक अलग अध्ययन में बताया गया कि जांचे गए सभी 21 ओपन-वेट भाषा मॉडलों को उनकी सुरक्षा व्यवस्थाओं को बायपास करने के लिए बदला जा सकता था। यह निष्कर्ष केवल परीक्षण किए गए ओपन-वेट मॉडलों तक सीमित है और इससे यह साबित नहीं होता कि किसी खास फिशिंग अभियान में ऐसे मॉडल का उपयोग हुआ। फिर भी, यह व्यावहारिक सबक मजबूत करता है कि बड़े पैमाने पर दुरुपयोग के जोखिम का आकलन करते समय सिर्फ मॉडल-स्तरीय गार्डरेल पर भरोसा नहीं किया जाना चाहिए।
ईमेल सुरक्षा टीमों के लिए प्राथमिकता साफ है: टेक्स्ट normalization को मानक प्री-प्रोसेसिंग चरण बनाइए, पूरी मेल पाइपलाइन में व्यवहार की पुष्टि कीजिए और मानकर चलिए कि AI से जुड़ी नई छिपाने वाली तकनीकें परिचित सोशल-इंजीनियरिंग हमलों में भी दिखाई दे सकती हैं।
Studio Global AI
अपना शोध जारी रखें
इस पृष्ठ में एक स्रोत-समर्थित उत्तर शामिल है जिसे आप Studio Global के अंदर जारी रख सकते हैं।
लोग पूछते भी हैं
"ASCII Smuggling: दिखता था ‘लोन’, फ़िल्टर को नहीं दिखता था पूरा शब्द" का संक्षिप्त उत्तर क्या है?
फरवरी से मध्य मई 2026 तक चले फाइनेंस थीम वाले फिशिंग अभियान में अदृश्य Unicode Tag कैरेक्टर का इस्तेमाल कर ‘funding’, ‘loan’ और ‘credit’ जैसे शब्दों को बीच में तोड़ा गया।
सबसे पहले सत्यापित करने योग्य मुख्य बिंदु क्या हैं?
फरवरी से मध्य मई 2026 तक चले फाइनेंस थीम वाले फिशिंग अभियान में अदृश्य Unicode Tag कैरेक्टर का इस्तेमाल कर ‘funding’, ‘loan’ और ‘credit’ जैसे शब्दों को बीच में तोड़ा गया। माइक्रोसॉफ्ट टेलीमेट्री में अभियान एक दिन में 23 लाख से अधिक संदेशों तक पहुंचा। यह फर्जी बिज़नेस लोन और क्रेडिट ऑफर भेजता था तथा डिस्पोज़ेबल डोमेन और ActiveCampaign इन्फ्रास्ट्रक्चर का उपयोग करता था।
मुझे अभ्यास में आगे क्या करना चाहिए?
मुख्य बचाव है: कीवर्ड, सिग्नेचर और रेगुलर एक्सप्रेशन जांच से पहले Unicode टेक्स्ट को नॉर्मलाइज़ और निरीक्षण करना; साथ ही ईमेल पढ़ने वाले AI असिस्टेंट को अविश्वसनीय इनपुट मानना।