ハッカーがAI時代の「ASCIIスマグリング」を悪用、数百万通のメールにフィッシングコンテンツを隠蔽

脅威アクターが、AIプロンプトインジェクション手法として知られる「ASCIIスマグリング」を転用し、大規模にメールセキュリティ対策を回避していることが分かりました。金融関連のフィッシングメールの文面に、目に見えないUnicode文字を埋め込む手口です。

Securityscans service

Microsoftの観測によると、この手口を使った活動は1日あたり230万通以上のメッセージに達しており、AIセキュリティ研究の中で最初に注目された技術が、瞬く間に一般的なフィッシング活動へと転用され得ることを示しています。

このキャンペーンでは、ほぼ廃止されているUnicodeの「Tags」ブロック（U+E0000〜U+E007F）に含まれる不可視文字を、「funding」「loan」「credit」といった金融関連の重要キーワードに挿入していました。

この単語は受信者の目には通常通り表示されます。しかし、その裏側にあるテキストシーケンスは変化しており、単純なキーワードマッチングやトークン化、一部のNLPベースの検知モデルを混乱させる可能性があります。

例えば、あるメールでは「funding」という単語が見た目には通常通り表示されている一方で、実際には文字と文字の間にレンダリングされないUnicodeの「TAG SPACE」（U+E0020）を挟んだfun⟨U+E0020⟩dingという形でエンコードされていました。

ユーザーの目には普通の事業融資に関する案内に見えますが、この文字を正規化せずに検査するスキャナーは、途切れのないキーワードとして認識できない可能性があります。

この文脈において、攻撃者はWebページや文書、メールの中に機械可読な命令を隠します。それは人間の目には見えないものの、生のテキストを処理するAIアシスタントには読み取れる可能性があります。

UnicodeのTagsブロックは、実質的に印字可能なASCII文字の「影の表現」を含んでいます。

これらのコードポイントのほとんどは、一般的なユーザーインターフェースではレンダリングされないため、人が目にするものとソフトウェアが処理するものとの間にギャップが生じます。

Microsoftの調査は、Microsoft Defender for Office 365においてメール経由のプロンプトインジェクションコンテンツを探すことから始まりました。

隠されたUnicodeタグ文字を特定するために設計された検知シグネチャは、AIモデルに命令を密輸するためではなく、フィルター回避のために同じ文字範囲を悪用する大規模な金融テーマのフィッシング活動を、意図せず発見することになりました。

この違いは重要です。攻撃者は別途隠しメッセージをエンコードしていたわけではないようです。その代わり、防御側が通常怪しいと判断するフィッシング用語を分断するために、孤立した不可視のタグ文字を使用していました。

Microsoftのテレメトリでは、2026年2月9日にASCIIスマグリングのシグネチャ検知件数が急増したことが示されています。

前日にはこの検知は約21,000通のメッセージで発生していましたが、その後130万通以上へと急増しました。その後の日には、1日あたり230万通を超える件数も記録されています。

この高頻度フェーズは約3か月間続き、平日のみ稼働するという明確なパターンが見られました。

キャンペーンのトラフィックは週末、特に日曜日に大きく落ち込み、翌週の平日には再び通常の水準に戻っていました。

この規則的なリズムは、日和見的で小規模なフィッシングというより、スケジュール化された大量メール配信インフラの存在を裏付けています。

この活動は5月15日以降に大幅に減少しましたが、低水準の残存トラフィックと周期的なスパイクは6月まで続きました。

Microsoftの研究者らによると、ASCIIスマグリングは、AIシステムに対するプロンプトインジェクションおよびクロスプロンプトインジェクション攻撃の研究を通じて広く知られるようになったといいます。

MicrosoftはこのUnicodeタグを用いたフェーズを、Fortraが以前に報告していた、ActiveCampaign経由で配信されるより広範なフィッシングキャンペーンと結びつけました。これは、この作戦がこの特定の回避手法を採用する以前から存在していたことを示しています。

AI時代のASCIIスマグリング

観測されたメッセージの多くは、「capital」「funding」「loan」「growth」「boost」「finance」といった単語を組み合わせて作られた、使い捨ての金融テーマの送信者ドメインを使用していました。

例としては、guardiangrowthfunding[.]com、digitalcapitalboost[.]com、thebusinessloanexpress[.]comなどが挙げられます。

このキャンペーンのメールは、正規のメールマーケティングプラットフォームであるActiveCampaignに関連するインフラを経由して中継されていました。

リンクの多くは、acemlnd[.]comやactivehosted[.]comといった同サービスのクリックトラッキングドメインを経由して書き換えられており、これによりメッセージが正規のマーケティングトラフィックのように見え、レピュテーションベースのフィルタリングを複雑にしていました。

Microsoftによると、検知されたメッセージの約96%が、この金融テーマのキャンペーンクラスターに関連していました。トラフィックの大半も、173.236.20[.]0/24のネットワーク範囲を含む、同マーケティングプラットフォームの共有送信環境と一致するインフラから発信されていました。

このネットワーク範囲は正規の共有インフラに属しているため、単独の悪意ある指標として扱うべきではありません。

ActiveCampaignは、この手法を自社のコンテンツモデレーションシステムに対してテストしたところ、不可視のUnicode文字を含むメールは、難読化されていない同等のメールと同じ判定を受けたとしています。

同社は、この手法自体を多用すること自体が不審な兆候として扱われるとし、顧客アカウントのライフサイクル全体にわたって不正利用の検知を継続的に改善していると付け加えました。

防御における重要な原則は、「マッチング前に正規化する」ことです。メールセキュリティのパイプラインは、キーワードルールや正規表現、トークン化、フィッシング分類ロジックを適用する前に、不可視かつレンダリングされないUnicode文字を除去、統合、あるいは正規化すべきです。

防御側は特に、メールの件名や本文に含まれるUnicodeのTagsブロック文字、とりわけU+E0020を監視対象とすべきです。

これらの文字は正規の通信ではまれにしか出現しませんが、検知にあたっては、同じくUnicodeタグ文字を利用しているイングランド、スコットランド、ウェールズの地域旗絵文字シーケンスも考慮に入れる必要があります。

Microsoftは、観測された悪意あるメッセージの99%以上が、Unicodeタグの検知のみに依存しない、Defenderの多層的な保護機能によって検知されていたと指摘しています。

これらの防御層には、送信者・IP・URL・ドメインのレピュテーション、機械学習によるスパム・フィッシング分類、ブランドなりすまし検知、認証チェック、そしてOCRによる可視テキスト抽出が含まれます。

今回の事例は、新たに浮上しつつある分野横断型の脅威トレンドを浮き彫りにしています。AI時代の回避手法に関する研究は、もはやAIシステムだけにとどまりません。

大規模言語モデルがコンテンツをどう解釈するかを操作するために開発された技術は、攻撃者が従来型のセキュリティツールからフィッシングテキストを隠蔽する手助けにもなり得ます。これにより、Unicodeの正規化と多層的な検知の重要性は、メールセキュリティとAIの取り込みワークフローの両方でますます高まっています。

Securityscans service

IOC(侵害指標)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化（例: [.]）してあります。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。

★ メトリクスに基づくAI SOC導入の7段階を学ぶ – 無料のAI SOC導入プレイブック2026をダウンロード。