Contrabbando ASCII: 2,37 milioni di email al giorno

Un trucco per ingannare l'IA che ora inganna anche i filtri umani

Il blog di sicurezza di Microsoft ha rivelato il 3 settembre 2026 che una tecnica pensata per far passare istruzioni nascoste davanti ai modelli di IA viene ora usata per far passare parole chiave di phishing davanti ai comuni filtri antispam. La tecnica, nota come contrabbando ASCII, nasconde testo dentro caratteri Unicode invisibili del cosiddetto blocco Tags, un intervallo pensato in origine per la marcatura della lingua e in seguito adottato dai ricercatori di prompt injection perché non viene reso visibile da nessun font o interfaccia normale. Una stringa può così portare un'istruzione invisibile che nessun essere umano vede mai, ma che un modello linguistico continua a elaborare carattere per carattere.

Gli attaccanti hanno trovato un secondo uso per lo stesso intervallo invisibile: spezzare una parola filtrata in modo che nessuno scanner la riconosca mai per intero. Invece di nascondere un'istruzione, inseriscono un singolo carattere Tags invisibile, come il carattere TAG SPACE a U+E0020, nel mezzo di una parola bersaglio come "funding", cosicché il testo visibile continui a leggersi "funding" per una persona, mentre la stringa che un filtro analizza davvero risulta spezzata in due frammenti che non corrispondono a nessuna lista nera. I filtri classici basati su parole chiave e molti classificatori di contenuto basati sull'IA elaborano la stessa identica stringa letterale, e per questo lo stesso trucco di un solo carattere ha ingannato entrambi.

Una piattaforma legittima, un'esca SBA e un picco di 2,37 milioni

Microsoft ha collegato l'impennata a un'unica campagna ben organizzata che ha sfruttato la piattaforma legittima di email marketing ActiveCampaign per l'invio massivo. La posta veniva instradata attraverso un'infrastruttura collegata ad ActiveCampaign, e gli attaccanti riutilizzavano lo stesso sistema di riscrittura degli URL e tracciamento dei clic della piattaforma, facendo passare i link attraverso i domini acemlnd.com e activehosted.com, cosicché una destinazione sospetta sembrasse un normale link di tracciamento di una piattaforma di marketing. Microsoft ha collegato la campagna a un'operazione di phishing più ampia, distribuita anch'essa via ActiveCampaign e a tema SBA, documentata in precedenza dall'azienda di sicurezza Fortra: al suo interno, email esca generate dall'IA offrivano prestiti alle imprese, linee di credito e anticipi di finanziamento a chi richiedeva prestiti della Small Business Administration e ad altri piccoli imprenditori, per poi indirizzarli verso siti che raccoglievano cifre di fatturato, importi richiesti, punteggi di credito e dati di contatto.

Il volume, però, parlava da sé. Il giorno prima dell'inizio della campagna, la firma di rilevamento di Microsoft per questo abuso del blocco Tags Unicode si attivava su una base di circa 5.000-20.000 messaggi al giorno; il 9 febbraio 2026 quella cifra è salita a oltre 1,3 milioni in un solo giorno, la fase ad alto volume si è mantenuta per circa tre mesi e ha toccato il picco il 26 febbraio 2026, con 2,37 milioni di messaggi, prima di scendere bruscamente dopo il 15 maggio 2026.

Oltre i numeri: una sola falla, due tipi di filtro

La scoperta scomoda non è che i phisher abbiano trovato un trucco nuovo, ma che lo stesso trucco funzioni contro due tipi di difesa completamente diversi per la stessa ragione di fondo. Un filtro a parole chiave costruito negli anni novanta e un classificatore di contenuto basato sull'apprendimento automatico costruito nel 2026 condividono la stessa assunzione: che la stringa di caratteri letta da un sistema sia la stessa che vede una persona, e che riconoscere la parola visibile basti a cogliere l'intenzione che c'è dietro. Il contrabbando ASCII rompe questa assunzione per entrambe le difese insieme, perché non elimina mai la parola visibile: inserisce soltanto un carattere che nessuna interfaccia mostra, cosicché la persona veda "funding" mentre la macchina vede due frammenti che non significano nulla per una lista nera.

Questa falla non si ferma a un'unica campagna contro chi richiede prestiti della Small Business Administration. Qualsiasi azienda europea o britannica che usi il filtraggio dei contenuti di Microsoft 365 o Google Workspace, o che stia costruendo un assistente email basato sull'IA che legge il contenuto grezzo della posta in arrivo prima di riassumerlo o di agire su di esso, dipende dalla stessa assunzione: che ciò che il filtro analizza corrisponda a ciò che vede il lettore. La raccomandazione di Microsoft è normalizzare, cioè rimuovere o segnalare i caratteri del blocco Tags Unicode prima che un messaggio arrivi a una firma antispam o a un modello di IA, proprio perché lo stesso carattere invisibile inganna entrambi. Questa campagna ha puntato, con esche in inglese, sui richiedenti di prestiti statunitensi, e nulla in quanto pubblicato finora suggerisce un incidente specifico nell'UE, ma la tecnica in sé è indifferente alla lingua o alla lista di bersagli a cui viene applicata, perciò vale la pena porre la domanda al proprio fornitore già ora, non dopo che il primo dominio europeo comparirà nella segnalazione di qualcun altro.

Da leggere ora: Se usi Zimbra, il 21 agosto ha cambiato il rischio  |  Windows ottiene un modo IA locale, con condizioni