Microsoft blocheaza 2,37 milioane de emailuri frauduloase zilnic. Hackerii folosesc caractere invizibile

Gigantul tehnologic Microsoft a identificat o campanie masivă de phishing în care atacatorii cibernetici folosesc caractere Unicode complet invizibile pentru a păcăli filtrele de securitate ale companiilor. Hackerii inserează aceste caractere direct în cuvinte cheie pentru a ocoli sistemele bazate pe potrivirea exactă a textului, vizând în special mesaje care promit finanțări, împrumuturi, linii de credit și avansuri pentru companii.

Cum funcționează tehnica de ascundere a textului

Metoda folosită de atacatori poartă numele de „ASCII smuggling”. Aceasta utilizează caractere din zona Unicode Tags, cuprinsă strict între valorile U+E0000 și U+E007F. Multe dintre aceste caractere nu sunt afișate absolut deloc de fonturile și interfețele obișnuite, deși ele modifică efectiv textul procesat de sistemul informatic.

Ce înseamnă asta concret pentru un angajat care procesează facturi?

Într-un exemplu observat de Microsoft, un caracter invizibil era introdus fix în cuvântul „funding”, între silabele „fun” și „ding”. Pentru destinatarul uman, termenul rămânea vizibil pe ecran ca „funding”. Numai că un filtru automat de securitate care căuta exact acel șir de caractere putea să nu îl recunoască deloc. Textul văzut de angajat diferă radical de textul citit de filtru.

Iar problema nu se oprește aici. Caracterele neobișnuite pot modifica și modul în care sistemele bazate pe machine learning (software care clasifică automat spamul și mesajele de phishing) împart textul în tokenuri. Tokenurile sunt pur și simplu fragmentele în care sistemul descompune textul înainte de analiză. Astfel, un cuvânt suspect ajunge să fie interpretat ca mai multe elemente fără nicio legătură aparentă. Inteligența Artificială face deja mesajele frauduloase despre colete, plăți și conturi mult mai naturale și mai greu de recunoscut după clasicele greșeli gramaticale.

Vârful atacurilor a atins cifre record în februarie

Cifrele arată scara masivă a operațiunii.

Microsoft a observat o creștere bruscă a atacurilor pe 9 februarie 2026. Volumul a explodat de la aproximativ 21.000 de mesaje identificate cu o zi înainte, la peste 1,3 milioane în acea zi, ajungând apoi la peste 2,3 milioane pe data de 11 februarie. Așa cum arată o analiză detaliată publicată recent de Financiarul, vârful absolut a fost atins pe 26 februarie, când compania a detectat aproximativ 2,37 milioane de e-mailuri într-o singură zi.

Traficul intens a continuat pe parcursul a aproximativ trei luni. Distribuția mesajelor folosea infrastructură asociată platformei ActiveCampaign (un serviciu legitim de marketing). Volumul era extrem de ridicat în timpul săptămânii de lucru, scădea puternic în weekend și revenea în forță lunea. Atacurile au scăzut brusc abia după 15 mai 2026.

Pentru angajații companiilor din România care lucrează în departamentele ce aprobă plăți, gestionează credite sau lucrează cu furnizori, riscul este unul major, deoarece mesajele par complet legitime la prima vedere.

Peste 99 la sută dintre mesaje au fost blocate

Și totuși, filtrarea pe mai multe niveluri a reușit să oprească dezastrul. Microsoft a precizat oficial că peste 99% dintre mesajele campaniei au fost detectate de Microsoft Defender prin alte mecanisme decât identificarea caracterelor invizibile. Sistemul a analizat reputația expeditorului, adresa IP, domeniul și URL-urile, autentificarea, detectarea imitării unor branduri și modelele de machine learning pentru spam și phishing.

În timpul investigației, compania a identificat aproximativ 150 de domenii construite special din termeni financiari precum „funding”, „capital”, „loan”, „credit”, „finance” și „business”.

În urma incidentului de securitate, ActiveCampaign a reacționat oficial. Platforma a precizat că „tratează utilizarea masivă a caracterelor Unicode invizibile drept un semnal suspect și că sistemele sale de moderare analizează mesajele obfuscate la fel ca variantele normale”.

Până la urmă, prevenția rămâne baza securității cibernetice. Microsoft a transmis clar că „recomandă ca sistemele de securitate să elimine sau să normalizeze caracterele Unicode invizibile înainte de analiza cuvintelor și înainte ca mesajele să fie transmise unor asistenți AI”.

si gigantul IT a emis un avertisment direct pentru toți utilizatorii, subliniind că „pentru e-mailurile financiare neașteptate, utilizatorii nu ar trebui să introducă date de autentificare sau informații bancare după accesarea directă a unui link din mesaj. Ei ar trebui să intre separat pe site-ul companiei și să verifice solicitarea acolo”. Pentru conturile cu adevărat importante sunt recomandate exclusiv metode de autentificare rezistente la phishing.

Dincolo de cifrele uriașe din primăvară, activitatea reziduală a acestei campanii de phishing a continuat cel puțin până în luna iunie a acestui an.