脅威アクターがフィッシングキャンペーンにASCIIスマグリング技術を導入し、目に見えないUnicode文字を使ってメールセキュリティフィルターを回避していることが分かりました。
ASCIIスマグリングはこれまで、AIプロンプトインジェクション攻撃で使われてきました。Tagsブロック（U+E0000〜U+E007F）のUnicode文字で悪意ある指示をエンコードし、ユーザーから隠す手口です。
Microsoftの脅威リサーチチームは、この技術を用いた大規模なフィッシングキャンペーンを発見しました。同キャンペーンは2月下旬に1日あたり最大237万通のメッセージ数でピークを迎えました。5月に入って徐々に件数は減少しているものの、活動は依然として続いています。
「この大量配信フェーズは2月9日以降およそ3カ月間続き、2026年5月15日を境に急減しました」とMicrosoftは説明しています。
「これらの日付は、私たちのテレメトリで観測されたこの特定の技術の使用期間を示すものであり、より広範なキャンペーン自体を示すものではありません。キャンペーンはこの技術を使う前から始まっており、使わなくなった後も継続しています」
このキャンペーンでは、攻撃者が金融関連の誘い文句となる単語の中に目に見えないUnicode文字を挿入し、単語を分断しています。
こうすることで、例えば「funding」というキーワードは「fun[目に見えない文字]ding」のような形に変わり、単語リストに依存して不審・悪意あるメッセージを検知するメールフィルターをすり抜けてしまいます。
Microsoftによると、この手法は数百万通に及ぶ金融をテーマにしたフィッシングメッセージで使われ、狙い通りの効果を発揮していました。ただし、送信者・IP・ドメイン・レピュテーションチェックといった他のシグナルにより、Defenderはそれでも99%を超えるメッセージを検知できていたとのことです。
2月9日時点で、Microsoftはこのキャンペーンを支えていた金融をテーマとした送信ドメイン148件のクラスターを特定しました。これは、Defender for Office 365の新しいUnicodeタグ・シグネチャ検知ロジックがフラグを立てた全メッセージのおよそ96%を占めていました。
これらのドメインには「funding」「capital」「loan」「advance」「credit」といった単語が使われており、メッセージの内容は事業資金調達、融資、クレジットサービスの宣伝でした。
メッセージは、正規のメールマーケティングプラットフォームであるActiveCampaignに関連するインフラを通じて配信されていました。
Microsoftからサービス悪用の報告を受け、ActiveCampaignは自社のモデレーションシステムが、目に見えないUnicode文字を難読化されていないテキストと同様に検知しており、多用は不審なものとして扱われると説明しています。
Microsoftは、キーワード・正規表現・シグネチャベースの検知を適用する前に、Unicodeタグ文字やその他の不可視コードポイントを除去または正規化すること、そして想定外のタグブロック文字を強い異常兆候として扱うことを防御側に推奨しています。
メールの内容をAIアシスタントに渡す前に同様の正規化処理を適用すれば、プロンプトインジェクション攻撃のリスク軽減にもつながるはずです。
