Come l’ASCII smuggling ha nascosto parole di phishing in piena vista

Un’email può apparire perfettamente leggibile e, allo stesso tempo, risultare diversa per un filtro automatico. È quanto emerso da una campagna di phishing monitorata da Microsoft tra febbraio e metà maggio 2026: gli aggressori hanno usato caratteri Unicode invisibili per alterare la sequenza effettivamente analizzata da alcuni sistemi di posta, senza cambiare l’aspetto del messaggio per il destinatario. 1

Microsoft chiama la tecnica ASCII smuggling. Era stata resa nota nel contesto delle iniezioni di prompt contro i sistemi di IA, ma in questo caso è stata adattata per nascondere formulazioni tipiche delle esche finanziarie ai controlli email. 1

Parole normali a video, sequenze diverse per i filtri

Gli attaccanti inserivano caratteri Unicode Tag, che non vengono visualizzati, all’interno di termini come “funding”, “loan” e “credit”. A chi riceveva il messaggio, le parole potevano sembrare integre; a livello di caratteri, però, non erano più stringhe continue. 1

Il dettaglio è rilevante per i sistemi che cercano corrispondenze letterali, firme note o espressioni regolari. Una regola progettata per individuare una parola finanziaria senza interruzioni può non scattare se fra le lettere sono nascosti caratteri invisibili. Microsoft segnala inoltre che gateway, parser e sistemi a valle possono gestire questi caratteri in modo non uniforme, rendendo l’analisi più complessa. 1

L’uso è, in un certo senso, l’inverso di quello visto nelle iniezioni di prompt: negli attacchi contro l’IA, i caratteri invisibili possono celare istruzioni alla persona ma renderle disponibili al modello. Qui l’esca visibile era destinata alla vittima, mentre la sequenza sottostante puntava a disturbare l’analisi della posta. 1

Milioni di messaggi con finte offerte di credito

Secondo la telemetria Microsoft, l’attività è aumentata nettamente dal 9 febbraio 2026 ed è rimasta elevata nei giorni feriali per circa tre mesi. In una giornata, la campagna ha superato 2,3 milioni di messaggi. 1

Le email pubblicizzavano offerte fittizie di prestiti e credito per imprese. L’operazione impiegava domini mittente usa e getta e l’infrastruttura di ActiveCampaign, assumendo quindi caratteristiche da invio massivo di marketing più che da una tipica compromissione di un server di posta. 1

Microsoft riferisce che ActiveCampaign ha indagato sull’abuso e adottato provvedimenti sugli account identificati. Il caso ricorda che anche servizi legittimi di distribuzione email possono essere sfruttati in modo improprio, pur disponendo di programmi contro gli abusi. 1

La priorità: normalizzare Unicode prima dei controlli testuali

La raccomandazione più diretta è chiara: normalizzare Unicode prima dell’esecuzione dei controlli basati sul testo. Microsoft consiglia di rilevare, rimuovere o segnalare i caratteri Unicode Tag e di controllo prima di applicare regole per parole chiave, firme o regex. 1

Per i team di sicurezza, il controllo va inserito in una catena di difesa più ampia:

• Normalizzare e ispezionare presto il testo dei messaggi, prima del content matching e prima di inviarlo a parser o classificatori successivi. 1
• Verificare ogni livello di elaborazione: gateway, parser, classificatori e strumenti downstream possono interpretare i caratteri insoliti in modo diverso. 1
• Non affidarsi soltanto alle parole chiave. Microsoft indica anche reputazione di mittente, IP, URL e dominio, autenticazione, classificazione tramite machine learning e rilevamento dell’impersonificazione. 1
• Cercare usi anomali di Unicode: caratteri invisibili o di controllo incorporati in testo promozionale apparentemente ordinario sono un segnale utile per le indagini. 1

La normalizzazione non sostituisce gli altri controlli: impedisce che una specifica tecnica di evasione neutralizzi difese testuali altrimenti efficaci. Reputazione, analisi dei link e protezioni antiphishing restano essenziali per bloccare l’intero messaggio.

Attenzione anche agli assistenti IA che leggono le email

Il rischio non riguarda solo i filtri della casella di posta. Sempre più organizzazioni fanno elaborare le email da copiloti, strumenti di sintesi, automazioni di workflow e agenti IA. Microsoft raccomanda di trattare i messaggi destinati a questi sistemi come input non affidabili: devono essere normalizzati e ispezionati prima del passaggio al modello; inoltre occorre difendersi dalle iniezioni di prompt e limitare strumenti, permessi e privilegi degli agenti automatici. 1

Senza queste precauzioni, un aggressore può tentare di colpire contemporaneamente il tradizionale flusso di sicurezza della posta e un sistema di IA che in seguito legge o agisce sul contenuto del messaggio.

Dalle tecniche IA al phishing tradizionale

L’ASCII smuggling non significa che ogni tecnica di iniezione di prompt diventerà automaticamente uno strumento per lo spam. Dimostra però che metodi sviluppati o diffusi nella ricerca sulla sicurezza dell’IA possono essere riutilizzati a basso costo in canali consolidati, come il phishing via email. 1

In parallelo, uno studio guidato dall’Università di Waterloo e da FAR.AI ha rilevato che tutti i 21 modelli linguistici open-weight esaminati potevano essere modificati per aggirarne le protezioni di sicurezza. Il risultato riguarda specificamente i modelli testati e non dimostra che questa campagna di phishing abbia usato un particolare modello. Rafforza però un principio operativo: le protezioni interne al modello non dovrebbero essere l’unico controllo su cui fare affidamento per contrastare abusi su scala.

Per chi difende la posta elettronica, la conclusione è concreta: rendere la normalizzazione del testo una fase standard di pre-elaborazione, validare il comportamento lungo tutta la pipeline email e presumere che nuove forme di offuscamento legate all’IA possano comparire anche nelle più familiari truffe di ingegneria sociale.