Da AI a inbox: la tecnica degli "invisibili" che ha inondato le email aziendali

Il 9 febbraio 2026 i server di Microsoft Defender for Office 365 hanno registrato un salto anomalo: da circa 21.000 messaggi quotidiani a oltre 1,3 milioni in ventiquattro ore. La causa non era un nuovo malware o una botnet sconosciuta, bensì una tecnica di offuscamento nata nell'ambito della sicurezza dei sistemi di intelligenza artificiale — l'ASCII smuggling — riadattata per aggirare i filtri antispam tradizionali. I ricercatori di Microsoft Security Research hanno tracciato una campagna SBA-themed che, per circa tre mesi, ha iniettato caratteri Unicode invisibili all'interno di termini finanziari per rompere la contiguità dei pattern di byte che i sistemi di sicurezza cercano.

Il meccanismo: quando il rendering umano tradisce il parsing macchina

Il cuore tecnico della campagna sfrutta una discrepanza architetturale consolidata. I caratteri del blocco Unicode Tags, definiti nello standard come U+E0000-U+E007F, sono una shadow copy del set ASCII printable originariamente progettata per il language tagging, oggi deprecata. Microsoft identifica esplicitamente questo range come "most abused" nella campagna. Il TAG SPACE (U+E0020), inserito tra "fun" e "ding", produce una sequenza di byte che agli occhi dell'utente appare identica a "funding", ma che un motore regex o un filtro basato su corrispondenza letterale non riconosce come tale.

Come ha spiegato il team di Microsoft Security Research: "To a recipient, and to parsing pipelines that drop or normalize these characters, the word still reads as funding. To a detector matching the literal string funding, or a regex that does not account for interleaved invisible code points, the byte sequence no longer contains the contiguous keyword". La frase distingue con precisione due mondi: quello del rendering, dove la normalizzazione Unicode restituisce il termine corretto, e quello della detection signature-based, dove l'assenza di normalizzazione preliminare lascia il filtro cieco.

Questo non è un exploit di vulnerabilità software nel senso classico del termine — non c'è buffer overflow né escalation di privilegi. È una evasione semantica, un attacco alla pipeline di parsing che precede l'analisi del contenuto. La novità non sta nel meccanismo in sé, noto da anni nella letteratura sui prompt injection contro i large language model, ma nella sua migrazione su scala industriale verso infrastrutture di phishing tradizionale.

La curva dei volumi: tre mesi di accelerazione e un pattern settimanale

I dati telemetry pubblicati da Microsoft tracciano una curva di attività nettamente strutturata. Il punto di partenza è il 9 febbraio 2026, con il salto da circa 21.000 a oltre 1,3 milioni di messaggi. Il picco massimo, 2,37 milioni di messaggi in un singolo giorno, si registra il 26 febbraio secondo quanto riportato da The Hacker News citando i dati Microsoft. La fase ad alto volume si è protratta per circa tre mesi, con un calo netto dopo il 15 maggio 2026.

Un elemento distintivo è la cadenza settimanale: profondi cali domenicali e ripresa piena il lunedì. Microsoft descrive questo pattern come "typical of scheduled bulk-sending infrastructure", indicando un'infrastruttura programmata piuttosto che un'attività manuale o reattiva. Il cluster finanziario — domini usa-e-getta con temi loan, funding, credit, capital — ha generato circa il 96% dei messaggi flaggati, secondo GBHackers che riporta i medesimi dati Microsoft. Il rimanente 4% non è qualificato nel dossier: potrebbe trattarsi di falsi positivi, attività parallele o test di infrastruttura.

"Instead of using these characters to hide instructions from people while exposing them to AI models, the attacker used them to split financial lure words such as 'funding' to prevent email filters from parsing them" — Microsoft Security Research team, via The Hacker News

Infrastruttura e reputation laundering su piattaforma legittima

La campagna ha utilizzato circa 150 domini sender tematici, tutti usa-e-getta, relayati attraverso ActiveCampaign. I link venivano riscritti sui domini di click-tracking acemlnd[.]com e activehosted[.]com, entrambi proprietà della piattaforma di marketing automation. ActiveCampaign ha testato autonomamente i contenuti con caratteri Unicode invisibili e ha confermato che riceve lo stesso verdetto delle equivalenti non offuscate; ha inoltre segnalato che l'uso massiccio di questi caratteri è di per sé un segnale sospetto.

L'abuso di piattaforme email legittime per reputation laundering non è nuovo, ma la combinazione con tecniche di evasione AI-era ne complica il rilevamento. L'IP del mittente non è intrinsecamente malevolo: proviene da una rete condivisa inclusa il blocco 173.236.20[.]0/24, che Microsoft esplicitamente avvisa di non trattare come indicatore autonomo. Questo rende inefficaci le difese basate esclusivamente su reputazione IP o su liste nere statiche.

Microsoft ha collegato la campagna a una più ampia operazione SBA-themed documentata da Fortra (FIRE) nel settembre 2025. La connessione non è di attribuzione diretta — l'identità del threat actor resta non determinata — ma di condivisione infrastrutturale: la stessa rete ActiveCampaign, gli stessi pattern di dominio, la medesima tematica di lure. Ciò suggerisce che l'adozione della tecnica Unicode sia stata un'evoluzione tattica all'interno di un'operazione preesistente, non l'avvio di una nuova campagna ex novo.

Perché le difese stratificate hanno funzionato meglio della detection specifica

Il dato più rilevante per chi gestisce infrastrutture di sicurezza non è il volume della campagna, ma la risposta difensiva. Microsoft ha rilevato oltre il 99% dei messaggi malevoli attraverso protezioni stratificate: sender reputation, IP reputation, URL reputation, domain reputation, ML classification, brand impersonation detection, authentication checks (SPF/DKIM/DMARC) e OCR su contenuto immagine. Nessuno di questi layer dipende dal riconoscimento specifico dei caratteri Unicode invisibili.

La lettura è chiara: l'over-reliance su indicatori tecnici stretti — regex per keyword, matching letterale di byte — è una fragilità strutturale che questa campagna ha esposto, non superato. I filtri che normalizzano Unicode prima dell'applicazione delle regole, o che analizzano il contenuto semantico attraverso ML e OCR, hanno continuato a funzionare. I filtri che processano il flusso di byte grezzo sono stati aggirati.

La conseguenza architetturale è che la pipeline di sicurezza email deve trattare la normalizzazione Unicode non come un'ottimizzazione secondaria, ma come uno step fondamentale del preprocessing. La discrepanza tra rendering e parsing non è un bug di implementazione: è una caratteristica dello standard Unicode che gli attaccanti ora sanno sfruttare sistematicamente.

Perche è importante

Il dossier Microsoft documenta con precisione il meccanismo e i volumi, ma lascia aperti interrogativi strategici. Non emerge il motivo esatto del calo post-15 maggio 2026 — abbandono volontario della tecnica, takedown operativo, rotazione verso altri vettori — né il numero di vittime che hanno effettivamente interagito con i link. L'identità del threat actor resta sconosciuta, e la correlazione con la campagna Fortra 2025 non è qualificata come condivisione di operatori o solo di infrastruttura.

Ciò che il brief non specifica è se la tecnica sia stata replicata in altre campagne oltre a quella SBA-themed, o se vendor diversi da Microsoft abbiano osservato pattern analoghi. Non è documentato il tasso di successo dei messaggi nel bypassare filtri di terze parti, né se gli attaccanti abbiano combinato l'offuscamento Unicode con altre tecniche di evasione (immagini, allegati, redirect chain). Questi limiti rendono prematura qualsiasi valutazione sulla diffusione endemica del pattern, ma non diminuiscono il valore dell'alert: la barriera tra ricerca AI safety e strumenti di cybercrime tradizionale si è dimostrata permeabile e rapidamente traversabile.

Fonti

• https://thehackernews.com/2026/09/phishing-campaign-sends-millions-of.html
• https://www.schneier.com/blog/archives/2026/09/whats-the-scam.html
• https://www.infosecurity-magazine.com/news/fake-voicemail-svg-files-bypass/
• https://www.helpnetsecurity.com/2026/09/04/microsoft-teams-qr-code-phishing-protection/
• https://www.memesita.com/phishing-campaign-sends-millions-of-emails-using-invisible-unicode-to-evade-filters/
• https://www.microsoft.com/en-us/security/blog/2026/09/03/ascii-smuggling-crosses-over-from-ai-prompt-injection-to-phishing-evasion/
• https://gbhackers.com/ai-era-ascii-smuggling/amp/
• https://www.schneier.com/essays/archives/2024/05/llms-data-control-path-insecurity.html
• https://www.helpnetsecurity.com/2025/03/03/qr-code-attacks/
• https://thehackernews.com/
• https://thehackernews.com/p/upcoming-hacker-news-webinars.html