ASCII smuggling: da attacco AI a 2,37 milioni di email di phishing

Microsoft ha documentato il 3 settembre 2026 una campagna di phishing finanziario che ha utilizzato caratteri Unicode tag invisibili per evadere i filtri di sicurezza delle email. La tecnica, sviluppata originariamente per attacchi di prompt injection contro modelli di intelligenza artificiale, ha generato oltre 2,37 milioni di messaggi nel picco del 26 febbraio 2026, dimostrando una migrazione senza precedenti tra ecosistemi di attacco finora considerati separati.

Come funziona la tecnica: l'asimmetria tra occhio e algoritmo

Il meccanismo sfrutta una proprietà specifica del blocco Unicode tag (U+E0000-U+E007F). Questo range contiene una copia shadow dei caratteri ASCII stampabili, originariamente progettata per il language tagging ma ora deprecata. I caratteri tag non vengono renderizzati dai font e dalle interfacce utente tipiche, ma restano presenti nel flusso di testo processato dal software.

L'esempio documentato da Microsoft mostra la parola "funding" trasformata in "fun⟨U+E0020⟩ding": il tag space invisibile spezza il token in sottostringhe che i modelli ML e NLP non riconoscono come parola-chiave finanziaria. L'occhio umano legge "funding" intatta; il filtro automatico non effettua il matching.

La conseguenza è duplice: evasione dei controlli basati su corrispondenza letterale (keyword, regex) e disturbo dei meccanismi di tokenizzazione che alimentano i classificatori di spam e phishing. Come riportano Noam Kochavi e Sarah Wolstencroft di Microsoft Security: "Il premio maggiore per l'attaccante, tuttavia, non è impedire le corrispondenze di stringhe letterali; sono i modelli basati su ML e NLP che guidano sempre più la classificazione moderna di spam e phishing."

La timeline della campagna: tre mesi di cadenza settimanale

Secondo i dati telemetry di Microsoft Defender for Office 365, la campagna ha seguito una traiettoria misurabile con precisione. Il 8 febbraio 2026 il volume baseline della firma ASCII smuggling era di circa 21.000 messaggi. Il 9 febbraio è avvenuto lo spike iniziale: oltre 1,3 milioni di messaggi, un aumento di circa 62 volte.

Il picco assoluto è stato raggiunto il 26 febbraio 2026 con oltre 2,37 milioni di messaggi, secondo quanto riportato da The Register sulla base dei dati Microsoft. Da lì il volume weekday ha subito una riduzione progressiva dell'80% da fine febbraio a fine marzo, mantenendo però una cadenza operativa regolare fino al 15 maggio 2026.

Il pattern temporale è uno degli indicatori comportamentali più significativi: i volumi crollavano vicino allo zero durante i fine settimana per ripartire a pieno regime il lunedì. Questa cadenza weekday-on/weekend-off, documentata per tre mesi, suggerisce un'infrastruttura di invio gestita con scheduling operativo deliberato, non un compromesso casuale di account legittimi.

La convergenza cross-domain: quando la difesa AI scopre minacce tradizionali

Il dato più rilevante per il settore difensivo non è la tecnica in sé, ma il contesto della sua scoperta. La firma di hunting che ha rilevato la campagna era stata progettata per identificare ASCII smuggling in scenari di prompt injection AI — attacchi che nascondono istruzioni malevole nei prompt per manipolare il comportamento dei modelli linguistici.

"La sorpresa è stata che non c'erano istruzioni contrabbandate per un assistente AI. Invece, i caratteri tag invisibili erano inseriti dentro parole chiave finanziarie comuni, spezzandole in modo che una firma o una corrispondenza keyword letterale fallisse." — Noam Kochavi e Sarah Wolstencroft, Microsoft Security

Questa inversione di intento — stesso meccanismo, obiettivo opposto — ha fatto scattare un allarme che altrimenti non avrebbe mai esaminato il traffico email tradizionale. Il dossier di Microsoft descrive esplicitamente il meccanismo: "Perché i caratteri tag sono invisibili agli esseri umani ma esistono a livello di elaborazione del testo, la stessa proprietà che li rende utili per contrabbandare istruzioni in un modello li rende utili per offuscare parole chiave prima che un rilevatore le valuti. L'intento è invertito, ma il meccanismo è simile e i sospetti dell'utente non sono sollevati."

La firma iniziale ha generato falsi positivi sulle bandiere di England, Scotland e Wales, che utilizzano codifiche Unicode tag per le emoji regionali. Questi casi sono stati esclusi, consentendo l'identificazione del cluster di circa 150 domini sender con tematica finanziaria collegato alla campagna.

Perché è importante

Il brief non specifica misure correttive dettagliate adottate dagli operatori di sicurezza esterni all'ecosistema Microsoft. Il dossier documenta che la maggior parte dei messaggi è stata comunque bloccata dalle protezioni stratificate, ma non quantifica il tasso di successo della campagna in termini di vittime confermate, click-through o perdite finanziarie.

La fonte non spiega il motivo del drop significativo post-15 maggio 2026: se sia dovuto a mitigazioni difensive, a una rotazione tattica dell'attore o alla conclusione della campagna. Non emerge inoltre se la tecnica sia stata estesa ad altri settori o piattaforme oltre l'email finanziaria.

Non è identificata pubblicamente alcuna entità threat actor specifica, né risultano attribuzioni a gruppi noti. Il dossier non verifica se la tecnica sia effettivamente invisibile anche a screen reader o assistenti vocali.

Ciò che il dossier documenta con chiarezza è l'implicazione strutturale: le tecniche sviluppate nell'ambito della sicurezza AI non restano confinate a quel dominio. La ricerca difensiva progettata per un ecosistema ha involontariamente fornito — o reso visibile — un arsenale testato per un altro. Kochavi e Wolstencroft sintetizzano: "Man mano che i metodi di attacco dell'era AI diventano meglio compresi, gli attori di minaccia possono adattarli per usi in minacce più tradizionali come phishing e spam."

Domande frequenti

La tecnica rende il phishing invisibile anche agli utenti più attenti?

No nel senso visivo: il messaggio appare normale perché i caratteri tag non alterano la resa grafica. Sì nel senso che l'evasione dei filtri automatici aumenta la probabilità che l'email raggiunga la casella dell'utente senza preavviso visivo di pericolo.

Perché i filtri non bloccano direttamente i caratteri Unicode tag?

Il blocco U+E0000-U+E007F ha usi legittimi residui (come le bandiere regionali citate nel dossier) ed è processato come testo valido dal software. La normalizzazione richiede implementazione esplicita nelle pipeline di analisi, non è un default universale.

La campagna ha sfruttato vulnerabilità di sicurezza AI?

No. L'AI era il contesto di origine della tecnica ASCII smuggling, non il bersaglio della campagna phishing. Non è documentato alcun attacco a modelli linguistici o sistemi AI nel corso della campagna.

Fonti

• https://www.theregister.com/security/2026/09/04/ascii-smuggling-isnt-just-an-ai-security-risk/5294595
• https://malware.news/t/ascii-smuggling-crosses-over-from-ai-prompt-injection-to-phishing-evasion/125312
• https://arstechnica.com/security/2026/09/once-popular-for-attacking-ai-ascii-smuggling-is-embraced-by-spammers/
• https://www.ico-optics.org/ascii-smuggling-threat-evades-modern-email-security-filters/
• https://www.microsoft.com/en-us/security/blog/2026/09/03/ascii-smuggling-crosses-over-from-ai-prompt-injection-to-phishing-evasion/
• https://training.invokere.com/link/QHLuD5/MWNEWS10?url=https%3A%2F%2Ftraining.invokere.com

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti