Phishing stał się niewidzialny. Hakerzy ukrywają treść wiadomości w znakach Unicode

Na ekranie wiadomość wygląda zupełnie normalnie. Odbiorca widzi słowa dotyczące finansowania, kredytu albo oferty biznesowej i nie zauważa pomiędzy literami żadnych dodatkowych znaków. Dla systemu analizującego surową treść sytuacja może jednak wyglądać inaczej. Microsoft Security Research ujawnił we wrześniu 2026 roku dużą kampanię phishingową wykorzystującą niewidoczne znaki z bloku Unicode Tags. Cyberprzestępcy wstawiali je między litery wybranych słów, aby utrudnić filtrom pocztowym prawidłowe rozpoznanie podejrzanej treści. Technika jest określana szerzej jako ASCII smuggling, choć w tej konkretnej operacji napastnicy nie ukrywali całych tajnych komunikatów. Wykorzystywali pojedyncze niewidoczne znaki przede wszystkim do rozbijania słów istotnych dla mechanizmów wykrywających phishing.

Skala operacji pokazuje, że nie mamy do czynienia z laboratoryjną ciekawostką. Telemetria Microsoft Defender for Office 365 wskazuje, że 8 lutego 2026 roku sygnatura związana z tym typem Unicode pojawiła się w około 21 tys. wiadomości, a już dzień później liczba przekroczyła 1,3 mln. W szczytowym okresie w dni robocze obserwowano od około miliona do 2,37 mln wiadomości dziennie. Intensywna faza trwała mniej więcej trzy miesiące i gwałtownie osłabła po 15 maja, choć później nadal pojawiały się mniejsze fale. Co ważne, technika nie stworzyła całej kampanii od zera. Microsoft powiązał ją ze starszą operacją wymierzoną w firmy zainteresowane finansowaniem i ofertami przypominającymi programy amerykańskiej Small Business Administration.

Czym jest ASCII smuggling i jak niewidoczne znaki Unicode trafiają do phishingu?

ASCII smuggling wykorzystuje fakt, że standard Unicode zawiera znaki, których większość użytkowników nigdy nie zobaczy na ekranie. Szczególnie interesujący jest blok Unicode Tags obejmujący zakres U+E0000-U+E007F. Powstał on pierwotnie między innymi z myślą o oznaczeniach językowych i zawiera odpowiedniki znaków znanych z ASCII, ale większość współczesnych interfejsów ich nie renderuje. Oznacza to, że niewidoczny znak może istnieć wewnątrz tekstu, zostać zapisany w wiadomości i przejść przez systemy informatyczne, mimo że odbiorca widzi zwykły ciąg liter. Ta różnica pomiędzy tym, co widzi człowiek, a tym, co analizuje oprogramowanie, stworzyła przestrzeń do nadużyć.

Technika zrobiła się głośna wcześniej w świecie bezpieczeństwa sztucznej inteligencji. Badacze pokazywali, że za pomocą niewidocznych znaków można ukrywać instrukcje w stronie internetowej, dokumencie albo e-mailu. Użytkownik nie widzi polecenia, ale system AI analizujący surową zawartość może je odczytać i potraktować jako element promptu. W kampanii phishingowej opisanej przez Microsoft mechanizm został wykorzystany odwrotnie. Nie chodziło o przekazanie ukrytych instrukcji modelowi, lecz o zaburzenie analizy wiadomości przez filtry bezpieczeństwa. To dobry przykład pokazujący, jak technika powstała lub spopularyzowana w jednym obszarze cyberbezpieczeństwa może szybko zostać przeniesiona do zupełnie innego rodzaju ataku.

Jak hakerzy mogą zmienić zwykłe słowo bez zmiany tego, co widzi odbiorca?

Microsoft pokazał bardzo prosty przykład. Słowo "funding", czyli finansowanie, było dla użytkownika wyświetlane dokładnie w taki sposób. W kodzie wiadomości pomiędzy fragmentami "fun" i "ding" znajdował się jednak niewidoczny znak U+E0020, określany jako TAG SPACE. Człowiek patrzący na ekran nadal odczytywał "funding", natomiast mechanizm wyszukujący dosłownie ciąg kolejnych liter mógł zobaczyć inną sekwencję. W tej konkretnej kampanii napastnicy nie kodowali więc całych zdań w niewidocznym alfabecie. Rozrzucali niewidoczne separatory wewnątrz słów mogących stanowić sygnał dla systemu antyspamowego lub antyphishingowego.

To właśnie dlatego określenie "niewidzialny phishing" dobrze opisuje problem z perspektywy użytkownika. Na ekranie nie musi pojawić się nic podejrzanego. Nie widać dziwnej spacji, symbolu ani przypadkowego znaku. Wiadomość wygląda tak, jak gdyby została napisana zwykłym alfabetem. Problem istnieje dopiero w warstwie kodowej. Dla klasycznej reguły mówiącej "zablokuj wiadomość zawierającą określone słowo" ciąg przestaje być identyczny z zapisanym wzorcem. W nowszych systemach sytuacja jest bardziej skomplikowana, ponieważ wykorzystywane są modele uczenia maszynowego i tokenizacja, ale również tam nietypowy niewidoczny znak może zmienić sposób podziału tekstu na fragmenty analizowane później przez klasyfikator.

Dlaczego niewidoczne znaki Unicode mogą oszukiwać filtry antyphishingowe?

Najprostsze filtry działają częściowo poprzez wyszukiwanie konkretnych słów, wyrażeń i wzorców. Jeśli system szuka ciągu "funding", a pomiędzy literami pojawi się dodatkowy znak Unicode, dosłowne dopasowanie może przestać działać. W bardziej zaawansowanych rozwiązaniach treść jest najpierw dzielona na tokeny lub fragmenty słów, które później trafiają do modelu klasyfikującego wiadomość. Niewidoczny element może zaburzyć ten proces i sprawić, że znane słowo zostanie przedstawione jako kilka mniej charakterystycznych części. Microsoft podkreśla jednak, że skuteczność takiego zabiegu zależy od konkretnego rozwiązania i od tego, czy przed analizą system normalizuje tekst.

Nie oznacza to więc, że wszystkie nowoczesne filtry pocztowe można pokonać jednym niewidocznym znakiem. Microsoft poinformował, że ponad 99 proc. wiadomości należących do obserwowanej kampanii zostało ostatecznie oznaczonych przez inne warstwy ochronne, niezależne od bezpośredniego wykrywania Unicode Tags. Systemy brały pod uwagę między innymi reputację nadawcy, adres IP, domenę, linki, uwierzytelnienie, wzorce podszywania się pod marki i klasyfikację opartą na uczeniu maszynowym. Incydent pokazuje jednak ważną zasadę: system bezpieczeństwa oparty tylko na jednym rodzaju analizy treści może być znacznie łatwiejszy do obejścia niż rozwiązanie łączące wiele niezależnych sygnałów.

Jak duża była kampania phishingowa wykorzystująca niewidoczny Unicode?

Dane Microsoftu pokazują wyjątkowo gwałtowny wzrost. Jeszcze 8 lutego 2026 roku sygnatura przygotowana do poszukiwania znaków związanych z ASCII smugglingiem pojawiła się w około 21 tys. wiadomości. 9 lutego liczba wzrosła do ponad 1,3 mln. W kolejnych tygodniach ruch utrzymywał się na ogromnym poziomie, a w dni robocze sięgał od około miliona do 2,37 mln wiadomości. Najwyższy odnotowany wolumen przypadł na 26 lutego. Badacze zwrócili uwagę również na wyjątkowo regularny rytm - wysyłka niemal zanikała podczas weekendów i wracała wraz z początkiem tygodnia pracy. Taki wzór jest charakterystyczny dla zautomatyzowanej infrastruktury masowej wysyłki.

Kampania nie ograniczała się do jednego łatwego do zablokowania nadawcy. Microsoft zidentyfikował dziesiątki, a w jednym dniu 148 domen o nazwach tworzonych z powtarzających się słów kojarzących się z finansowaniem, kredytami i biznesem. Pojawiały się kombinacje zawierające między innymi "capital", "funding", "loan", "business", "finance", "advance" czy "growth". Tworzenie wielu podobnych domen pozwalało operatorom regularnie zmieniać widocznego nadawcę i utrudniało obronę opartą na prostych czarnych listach. Około 96 proc. wolumenu wykrytego przez analizowaną sygnaturę było związane właśnie z takim finansowym wzorcem domen.

Kogo atakowali cyberprzestępcy wykorzystujący technikę ASCII smuggling?

Microsoft powiązał aktywność z szerszą kampanią opisaną wcześniej przez zespół Fortra Intelligence and Research Experts. Napastnicy wykorzystywali motyw finansowania przedsiębiorstw i ofert nawiązujących do amerykańskiej Small Business Administration. Fałszywe oferty obiecywały między innymi wielomilionowe linie kredytowe i szybkie pozyskanie finansowania. Szczególnie atrakcyjnym celem były małe i średnie firmy, ponieważ osoby zarządzające takimi przedsiębiorstwami rzeczywiście mogą regularnie otrzymywać wiadomości od banków, pośredników, funduszy czy instytucji oferujących finansowanie. Phishing mógł więc łatwiej wmieszać się w normalną korespondencję biznesową.

Celem nie zawsze było natychmiastowe przejęcie hasła do skrzynki czy konta bankowego. Fortra zwróciła uwagę, że fałszywe strony zbierały rozbudowane informacje o przedsiębiorstwach. Formularze pytały między innymi o przychody firmy, oczekiwaną kwotę kredytu, ocenę zdolności kredytowej, stanowisko osoby w przedsiębiorstwie, długość działalności oraz dane kontaktowe. Takie informacje mogą posłużyć do późniejszego przygotowania znacznie bardziej wiarygodnego spear phishingu. Oszust, który zna sytuację finansową firmy i wie, że przedsiębiorca rzeczywiście poszukuje kilku milionów dolarów finansowania, może zbudować kolejną wiadomość znacznie bardziej przekonującą niż przypadkowy masowy spam.

Dlaczego wykorzystanie legalnej platformy mailingowej utrudniało wykrycie ataku?

Kampania korzystała z infrastruktury ActiveCampaign, legalnej platformy wykorzystywanej przez firmy do automatyzacji marketingu i masowej wysyłki wiadomości. To ważny element ataku, ponieważ system pocztowy nie widział wyłącznie nowo utworzonej podejrzanej infrastruktury. Wiadomości przechodziły przez usługę posiadającą prawidłową reputację i używaną każdego dnia przez legalnych klientów. ActiveCampaign przepisywał również linki w wiadomościach tak, aby prowadziły przez własne domeny wykorzystywane do śledzenia kliknięć. W rezultacie część elementów wiadomości przypominała typowy newsletter lub kampanię marketingową.

Microsoft zaznacza jednak, że domeny i adresy należące do tej infrastruktury nie powinny być automatycznie uznawane za złośliwe. Są współdzielone także przez legalnych użytkowników. ActiveCampaign poinformował po analizie, że jego mechanizmy moderacyjne traktują wiadomości wykorzystujące niewidoczne znaki tak samo jak ich wersje bez obfuskacji, a intensywne stosowanie tej techniki jest dodatkowym sygnałem podejrzanego zachowania. Przypadek pokazuje szerszy problem współczesnego phishingu: przestępcy coraz częściej próbują wykorzystywać legalne usługi chmurowe, formularze, platformy mailingowe i systemy przekierowań, ponieważ zablokowanie całej zaufanej usługi mogłoby zaszkodzić tysiącom prawidłowych klientów.

Czy niewidoczne znaki Unicode w phishingu są zupełnie nową techniką?

Sam pomysł nie jest nowy. Cyberprzestępcy od lat wykorzystują znaki, których użytkownik nie zauważa albo które wyglądają niemal identycznie jak zwykłe litery. W wiadomościach spamowych pojawiały się między innymi zero-width space U+200B, zero-width non-joiner, soft hyphen oraz no-break space. Osobną kategorią są homoglyphs, czyli litery należące do innych alfabetów, które wyglądają bardzo podobnie do znaków łacińskich. Przykładowo niektóre litery cyrylicy mogą na pierwszy rzut oka wyglądać jak zwykłe "a", "o" czy "c", mimo że dla komputera są zupełnie innymi znakami. Takie manipulacje od dawna służą do tworzenia fałszywych nazw i utrudniania analizy tekstu.

Nowością jest przede wszystkim wybór bloku Unicode Tags oraz ogromna skala wykorzystania. Ten zakres znaków pozostawał przez lata mało interesujący dla typowych kampanii spamowych, dlatego nie wszystkie systemy bezpieczeństwa musiały traktować go jako priorytetową anomalię. Sytuację zmieniły badania nad prompt injection i agentami AI, które zwróciły uwagę na możliwość ukrywania za jego pomocą niewidocznych treści. Microsoft zauważa, że technika spopularyzowana w badaniach nad bezpieczeństwem AI zaczęła następnie pojawiać się w tradycyjnej cyberprzestępczości. Historia pokazuje więc również ryzyko związane z rozprzestrzenianiem się wiedzy o nowych metodach obfuskacji pomiędzy różnymi obszarami bezpieczeństwa.

Czy hakerzy mogą w Unicode ukrywać także instrukcje przeznaczone dla asystentów AI?

Tak i właśnie z takim zastosowaniem ASCII smuggling był wcześniej najczęściej kojarzony. Napastnik może umieścić niewidoczne instrukcje na stronie internetowej, w dokumencie lub wiadomości e-mail. Człowiek nie widzi dodatkowego tekstu, ale agent AI analizujący surowe dane może mieć do niego dostęp. Jeśli system nie potrafi odpowiednio oddzielić instrukcji użytkownika od nieufnej zawartości dokumentu, ukryta treść może zostać potraktowana jako polecenie. Jest to odmiana prompt injection, a w przypadku treści pobieranych ze źródeł zewnętrznych często mówi się o cross-prompt injection lub XPIA. Potencjalne konsekwencje zależą od uprawnień konkretnego agenta i zastosowanych zabezpieczeń.

To sprawia, że niewidoczny Unicode jest podwójnie interesujący dla zespołów bezpieczeństwa. W klasycznym phishingu może utrudniać filtrom zrozumienie widocznego komunikatu. W systemach AI może służyć do pokazania modelowi komunikatu, którego człowiek w ogóle nie zobaczył. Microsoft właśnie podczas tworzenia mechanizmów wykrywających prompt injection w e-mailach natrafił na opisywaną kampanię finansową. Narzędzie stworzone do szukania ataków na modele AI przypadkiem ujawniło klasyczny phishing korzystający z tej samej właściwości Unicode. To jeden z najbardziej interesujących przykładów przenikania się bezpieczeństwa tradycyjnego oprogramowania i bezpieczeństwa generatywnej AI.

Dlaczego filtr może zobaczyć coś innego niż użytkownik czytający dokładnie tę samą wiadomość?

Komputer nie interpretuje tekstu dokładnie tak jak ludzkie oko. Użytkownik widzi efekt końcowy wygenerowany przez klienta pocztowego i czcionkę. System bezpieczeństwa pracuje natomiast na kodzie znaków, strukturze HTML, tokenach, nagłówkach i wielu dodatkowych elementach niewidocznych podczas zwykłego czytania. Jeżeli interfejs nie renderuje określonego znaku Unicode, człowiek może nie mieć żadnej informacji, że znak istnieje. Klasyfikator otrzymujący surową treść nadal może go jednak przetwarzać. W efekcie dwa pozornie identyczne słowa mogą być całkowicie różnymi sekwencjami danych. To samo zjawisko od dawna wykorzystują ataki homoglyph, a Unicode Tags dodaje do arsenału napastników możliwość stosowania znaków zupełnie niewidocznych.

Najskuteczniejszym sposobem obrony po stronie systemu jest normalizacja danych przed rozpoczęciem właściwej analizy. Microsoft zaleca usuwanie lub normalizowanie znaków z zakresu U+E0000-U+E007F oraz innych niewidocznych i zerowej szerokości kodów przed dopasowywaniem słów, reguł i wyrażeń regularnych. Dzięki temu ciąg, który w kodzie wygląda na przerwany, ponownie staje się zwykłym słowem widzianym przez użytkownika. Ta sama normalizacja powinna odbywać się przed przekazywaniem treści asystentowi AI. Inaczej może powstać dokładnie ta sama rozbieżność: użytkownik analizuje jedną treść, a system wykonujący automatyczne działania otrzymuje inną.

Czy można samodzielnie zauważyć phishing wykorzystujący niewidoczne znaki Unicode?

Właśnie na tym polega problem - samego niewidocznego separatora zazwyczaj nie da się rozpoznać podczas zwykłego czytania wiadomości. Użytkownik nie powinien więc oczekiwać, że ochroni się poprzez dokładniejsze przyglądanie literom. Znacznie ważniejszy pozostaje kontekst wiadomości. Niespodziewana propozycja finansowania, presja czasu, niezwykle atrakcyjna oferta, prośba o szczegółowe informacje biznesowe lub konieczność wejścia na zewnętrzną stronę powinny wzbudzić ostrożność niezależnie od tego, jak poprawnie napisany jest tekst. W analizowanej kampanii oferty dotyczyły milionowych kwot finansowania dostępnego w bardzo krótkim czasie, co samo w sobie powinno skłaniać do dodatkowej weryfikacji.

Przestaje działać również jedna z popularnych porad mówiących, że phishing rozpoznaje się po błędach językowych. Generatywna AI pozwala tworzyć poprawne, dopasowane do odbiorcy wiadomości i całe zestawy stron w bardzo dużej skali. Fortra oceniła, że w kampanii SBA atakujący wykorzystywali możliwości automatyzacji do tworzenia wielu przekonujących wariantów treści oraz landing pages. Użytkownik powinien więc bardziej ufać procesowi weryfikacji niż stylistyce e-maila. Jeśli wiadomość pochodzi rzekomo od banku, dostawcy lub urzędu, bezpieczniej samodzielnie otworzyć znaną stronę instytucji albo skorzystać z wcześniej zapisanego numeru telefonu niż przechodzić przez link znajdujący się w niespodziewanej wiadomości.

Jak firmy mogą chronić pocztę przed phishingiem wykorzystującym Unicode?

Pierwszym krokiem jest normalizacja treści przed analizą. Microsoft rekomenduje usuwanie lub przekształcanie znaków z bloku Unicode Tags, a także innych niewidocznych kodów, zanim wiadomość zostanie sprawdzona przez reguły słownikowe, regexy albo modele klasyfikujące. Drugim elementem jest traktowanie samej obecności nietypowych tag characters jako potencjalnej anomalii. W zwyczajnej korespondencji występują one niezwykle rzadko. Trzeba jednak pamiętać o legalnych zastosowaniach - między innymi niektóre flagi emoji, takie jak Anglia, Szkocja i Walia, wykorzystują właśnie ciągi znaków z tego zakresu. Zbyt prosta reguła blokująca każde wystąpienie Unicode Tags mogłaby więc tworzyć fałszywe alarmy.

Drugi filar to ochrona warstwowa. Reputacja adresów IP i domen, analiza linków, SPF, DKIM, DMARC, detekcja podszywania się pod marki, modele antyphishingowe, sandboxing oraz analiza wizualna powinny uzupełniać ocenę samego tekstu. Microsoft podaje, że możliwość wykonania obrazu wiadomości i odczytania widocznego tekstu metodami OCR pomaga ominąć sztuczkę polegającą na różnicy pomiędzy kodem a tym, co rzeczywiście widzi użytkownik. W analizowanej kampanii właśnie wielowarstwowa ochrona sprawiła, że ponad 99 proc. wiadomości było rozpoznawanych także przez mechanizmy, które w ogóle nie polegały na wykrywaniu niewidocznych znaków.

Dlaczego phishing oparty na Unicode może stać się większym problemem wraz z rozwojem AI?

Rozwój generatywnej AI zwiększa możliwości napastników na kilku poziomach jednocześnie. Modele mogą pomagać tworzyć poprawne językowo wiadomości, szybko przygotowywać wiele wersji stron, dopasowywać treść do branży i automatyzować część pracy potrzebnej do prowadzenia kampanii. Jednocześnie rozwój agentów AI tworzy nowe techniki ataku, takie jak prompt injection, które później mogą być adaptowane również do klasycznej cyberprzestępczości. ASCII smuggling jest dobrym przykładem właśnie takiego przepływu. Metoda kojarzona początkowo z ukrywaniem instrukcji przed człowiekiem została wykorzystana do utrudniania klasyfikacji phishingu przez oprogramowanie.

Nie oznacza to jednak, że filtry pocztowe stały się bezradne. Paradoksalnie nietypowy znak wykorzystany do ukrycia słowa może sam stać się bardzo mocnym wskaźnikiem ataku, ponieważ prawie nie występuje w zwykłych wiadomościach. Wyścig polega więc na ciągłym dostosowywaniu się obu stron. Napastnicy szukają elementów, których system bezpieczeństwa jeszcze nie normalizuje, a obrońcy po wykryciu techniki mogą dodać ją do zestawu analizowanych anomalii. Najważniejsza lekcja z kampanii 2026 roku jest jednak szersza: nie można już zakładać, że tekst widoczny na ekranie jest dokładnie tym samym tekstem, który otrzymuje filtr albo agent AI. W epoce Unicode i autonomicznych modeli ta różnica staje się nowym polem walki o bezpieczeństwo poczty.