JawabanDipublikasikan11 sumber
Karakter Unicode Tak Terlihat Bantu Phishing Lolos dari Filter Email
Microsoft melacak kampanye phishing bertema pembiayaan dari Februari hingga pertengahan Mei 2026 yang menyisipkan karakter Unicode Tag tak terlihat ke dalam kata seperti “funding”, “loan”, dan “credit”. Karakter tersebut tidak mengubah tampilan bagi penerima, tetapi memecah rangkaian karakter yang dianalisis sistem...
Diterbitkan olehDiedit dengan GPT-5.6 TerraGambar dibuat dengan GPT Image 2
Jawaban penelitian
Poin-poin penting
- Microsoft melacak kampanye phishing bertema pembiayaan dari Februari hingga pertengahan Mei 2026 yang menyisipkan karakter Unicode Tag tak terlihat ke dalam kata seperti “funding”, “loan”, dan “credit”.
- Karakter tersebut tidak mengubah tampilan bagi penerima, tetapi memecah rangkaian karakter yang dianalisis sistem sehingga pencocokan kata kunci, signature, atau regex sederhana dapat gagal.
- Microsoft menyarankan normalisasi Unicode sebelum inspeksi konten, pengujian seluruh rantai pemrosesan email, serta perlindungan tambahan bagi asisten AI yang membaca email.
AI Perintah
openai.comCreate a landscape editorial hero image for this Studio Global article: How did a large-scale phishing campaign detected by Microsoft from February to mid-May 2026 use invisible Unicode tag characters—an ASCII-sm. Article summary: Microsoft observed a high-volume, finance-themed phishing operation from February to mid-May 2026 that repurposed “ASCII smuggling” from AI prompt-injection research. Invisible Unicode Tag characters were inserted inside. Topic tags: general, general web, user generated, academic, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks
Bagi penerima, kata-kata dalam email ini terlihat biasa saja. Namun, bagi sebagian filter keamanan, kata yang sama sebenarnya telah “diputus” oleh karakter Unicode yang tidak dirender di layar. Itulah teknik ASCII smuggling yang kini dipakai dalam kampanye phishing bertema pembiayaan yang diamati Microsoft dari Februari hingga pertengahan Mei 2026. 1
Pelaku menyisipkan karakter Unicode Tag tak terlihat ke dalam kata pemancing seperti “funding”, “loan”, dan “credit”. Akibatnya, pembaca tetap melihat kata utuh, sedangkan sistem yang hanya mencari rangkaian teks persis—misalnya lewat kata kunci, signature, atau regular expression (regex)—berpotensi tidak mengenalinya. 1
Cara kata phishing disamarkan
Unicode Tag adalah karakter non-rendering: karakter ini ada dalam data teks, tetapi umumnya tidak tampak pada tampilan email. Dengan menaruhnya di antara huruf-huruf sebuah kata, penyerang mengubah urutan karakter yang diproses mesin tanpa membuat teks pemancing terlihat aneh bagi manusia. 1
Perbedaan itu penting karena kontrol keamanan yang mengandalkan pencocokan literal dapat mencari kata utuh tanpa gangguan karakter. Microsoft juga mengingatkan bahwa gateway, parser, pengklasifikasi, dan sistem lanjutan tidak selalu memperlakukan karakter tidak lazim dengan cara yang sama, sehingga deteksi menjadi lebih rumit. 1
Teknik ini membalik pola pemakaian ASCII smuggling dalam serangan prompt injection pada AI. Dalam konteks AI, karakter tersembunyi dapat dipakai untuk menyembunyikan instruksi dari manusia tetapi membuatnya terbaca model. Pada kampanye ini, teks yang terlihat justru ditujukan kepada korban, sementara susunan karakter di baliknya dirancang untuk mengganggu analisis email. 1
Kampanye pinjaman palsu dengan volume besar
Menurut telemetri Microsoft, aktivitas melonjak tajam mulai 9 Februari 2026 dan tetap tinggi pada hari kerja selama sekitar tiga bulan. Pada satu hari, kampanye tersebut mencapai lebih dari 2,3 juta pesan. 1
Emailnya mempromosikan penawaran pinjaman bisnis dan kredit fiktif. Operasi ini memakai domain pengirim sekali pakai serta infrastruktur ActiveCampaign, sehingga lalu lintasnya memiliki ciri pengiriman pemasaran massal, bukan pola umum dari server email yang dibajak. 1
Microsoft menyebut ActiveCampaign telah menyelidiki penyalahgunaan tersebut dan mengambil tindakan terhadap akun yang teridentifikasi. Kasus ini menegaskan bahwa layanan pengiriman email yang sah pun dapat disalahgunakan, meski penyedianya memiliki program pencegahan penyalahgunaan. 1
Normalisasi Unicode harus dilakukan sebelum pencocokan teks
Pelajaran teknis paling langsung dari kasus ini adalah melakukan normalisasi Unicode sebelum deteksi berbasis teks dijalankan. Microsoft merekomendasikan agar karakter Unicode Tag dan karakter kontrol dideteksi, dihapus, atau ditandai sebelum aturan kata kunci, signature, maupun regex diterapkan. 1
Bagi tim keamanan, langkah tersebut sebaiknya masuk ke dalam pertahanan email berlapis:
- Normalisasi dan periksa teks email sejak tahap awal, sebelum pencocokan konten serta sebelum data diteruskan ke parser atau pengklasifikasi berikutnya.
1
- Uji semua lapisan pemrosesan, karena gateway, parser, pengklasifikasi, dan alat hilir dapat menafsirkan karakter aneh secara berbeda.
- Jangan hanya mengandalkan pencocokan konten. Microsoft menyebut perlindungannya juga memakai reputasi pengirim, IP, URL, dan domain; autentikasi; klasifikasi pembelajaran mesin; serta deteksi peniruan identitas.
- Lakukan perburuan terhadap penggunaan Unicode yang tidak wajar. Karakter tak terlihat atau karakter mirip kontrol di dalam bahasa pemasaran yang tampak normal dapat menjadi sinyal untuk investigasi.
Normalisasi bukan pengganti seluruh sistem keamanan. Tujuannya adalah mencegah satu teknik pengelabuan menonaktifkan kontrol konten yang seharusnya efektif, sementara lapisan reputasi dan perlindungan phishing tetap menilai keseluruhan pesan.
Asisten AI yang membaca email juga perlu diperlakukan hati-hati
Risikonya tidak berhenti pada filter kotak masuk. Banyak organisasi kini memasukkan email ke copilot, peringkas, otomasi alur kerja, atau sistem agen AI. Microsoft menyarankan agar email yang diberikan ke sistem tersebut selalu dianggap sebagai masukan yang tidak tepercaya: normalisasi dan periksa dulu sebelum dikonsumsi model, lindungi dari prompt injection, dan batasi alat maupun hak akses agen otomatis. 1
Tanpa pengamanan itu, konten tersembunyi dapat diarahkan ke dua sasaran sekaligus: pipeline keamanan email konvensional dan sistem AI yang kemudian membaca atau bertindak berdasarkan email tersebut.
Teknik dari era AI dapat berpindah ke spam konvensional
Kasus ASCII smuggling tidak berarti setiap teknik prompt injection akan berubah menjadi taktik spam. Namun, kasus ini menunjukkan bahwa metode yang dikembangkan atau dipopulerkan dalam riset keamanan AI dapat digunakan kembali dengan murah pada kanal lama seperti email phishing. 1
Pentingnya pertahanan berlapis juga diperkuat oleh studi yang dipimpin University of Waterloo dan FAR.AI. Studi itu melaporkan bahwa seluruh 21 model bahasa open-weight yang diuji dapat dimodifikasi untuk melewati perlindungan keselamatannya. Temuan tersebut khusus berlaku pada model open-weight yang diuji dan tidak membuktikan bahwa kampanye phishing ini memakai model tertentu. Namun, temuannya menggarisbawahi satu hal praktis: pagar pengaman di tingkat model saja tidak boleh menjadi satu-satunya kontrol saat organisasi menilai potensi penyalahgunaan dalam skala besar.
Bagi pengelola keamanan email, prioritasnya jelas: jadikan normalisasi teks sebagai tahap standar, validasi perilaku di seluruh pipeline email, dan bersiaplah bahwa teknik pengaburan yang muncul dari ekosistem AI dapat muncul pula dalam serangan rekayasa sosial yang sudah dikenal.
Studio Global AI
Lanjutkan penelitian Anda
Halaman ini berisi jawaban yang didukung sumber yang dapat Anda lanjutkan di dalam Studio Global.
Orang-orang juga bertanya
Apa jawaban singkat untuk "Karakter Unicode Tak Terlihat Bantu Phishing Lolos dari Filter Email"?
Microsoft melacak kampanye phishing bertema pembiayaan dari Februari hingga pertengahan Mei 2026 yang menyisipkan karakter Unicode Tag tak terlihat ke dalam kata seperti “funding”, “loan”, dan “credit”.
Apa poin penting yang harus divalidasi terlebih dahulu?
Microsoft melacak kampanye phishing bertema pembiayaan dari Februari hingga pertengahan Mei 2026 yang menyisipkan karakter Unicode Tag tak terlihat ke dalam kata seperti “funding”, “loan”, dan “credit”. Karakter tersebut tidak mengubah tampilan bagi penerima, tetapi memecah rangkaian karakter yang dianalisis sistem sehingga pencocokan kata kunci, signature, atau regex sederhana dapat gagal.
Apa yang harus saya lakukan selanjutnya dalam latihan?
Microsoft menyarankan normalisasi Unicode sebelum inspeksi konten, pengujian seluruh rantai pemrosesan email, serta perlindungan tambahan bagi asisten AI yang membaca email.