In questo articolo Indice dei contenuti 3 sezioni
Esiste un tipo di phishing invisibile che gioca su un dettaglio quasi banale: una parola che sullo schermo appare perfettamente normale, ma che per il software incaricato di analizzarla risulta completamente diversa. Su questa distanza fra ciò che l’occhio legge e ciò che la macchina elabora si regge una campagna individuata da Microsoft, dove gli aggressori infilano caratteri Unicode non visibili dentro i termini più sospetti, con l’obiettivo dichiarato di mandare fuori strada alcuni sistemi di filtraggio della posta elettronica.
Il ricorso a caratteri nascosti, spazi a larghezza zero e simboli facilmente confondibili non è certo una trovata dell’ultimo minuto: da anni rappresenta una scorciatoia per aggirare i filtri antispam e i controlli che lavorano per corrispondenza testuale. Qui però cambiano tre cose, ovvero la famiglia di caratteri scelta, il volume dell’operazione e il collegamento con una tecnica diventata familiare a chi si occupa di sicurezza dell’intelligenza artificiale, l’ASCII smuggling. I numeri raccontano bene la scala. I ricercatori hanno notato un’impennata improvvisa il 9 febbraio 2026: il giorno prima i sistemi di ricerca avevano contato circa 21.000 messaggi compatibili con la firma utilizzata, mentre il 9 febbraio il conteggio è schizzato oltre 1,3 milioni. Nelle settimane seguenti la campagna ha toccato picchi tra 1 e 2,37 milioni di messaggi al giorno, con un’attività ad alto volume proseguita per mesi.
Il trucco dei caratteri invisibili spiegato con una parola sola
Il meccanismo è meno esotico di quanto suggerisca il nome. Prendiamo la parola prestito. Un aggressore può inserire tra pre e stito il carattere U+E0020, chiamato TAG SPACE. Chi riceve il messaggio continua a leggere prestito, perché quel codice normalmente non produce nessun glifo sullo schermo. Un programma che confronta la sequenza ricevuta con la stringa letterale prestito, invece, non trova più corrispondenza.
Il ragionamento vale identico per credito, finanziamento, mutuo, offerta. A video tutto regolare, sotto il cofano una o più aggiunte silenziose. Il filtro che cerca la parola esatta rischia di non riconoscerla, mentre per chi legge non cambia nulla. U+E0020 appartiene al blocco Unicode Tags, che va da U+E0000 a U+E007F, un’area pensata in origine per inserire informazioni di tagging direttamente nel testo. L’uso legato all’identificazione della lingua è stato poi abbandonato, e oggi alcuni di quei tag sopravvivono nelle sequenze emoji. Nessun bisogno, quindi, di immagini, grafica manipolata o parole vistosamente storpiate: basta un carattere che nessuno vede e che però resta nei dati elaborati dal sistema di posta.
Perché la scoperta è arrivata dal mondo dell’AI
I caratteri del blocco Tags avevano già fatto discutere nel 2025, ma per un motivo diverso, ovvero gli attacchi di prompt injection. In quel caso l’idea era nascondere istruzioni nel contenuto di una pagina web, di un documento o di un messaggio: una persona non nota nulla di strano, mentre un modello linguistico che riceve la rappresentazione completa del testo può finire per elaborare anche la parte occultata. Nella campagna di phishing la logica si capovolge. Contro l’AI si cerca di mostrare qualcosa al software tenendolo nascosto agli occhi umani, nelle email analizzate si punta invece a lasciare la parola perfettamente leggibile per la persona, alterandone la rappresentazione interna per indebolire alcuni controlli automatici. Non è un caso che la scoperta sia arrivata quasi per sbaglio: la query che ha fatto emergere il picco era stata costruita per cercare possibili tentativi di prompt injection nelle email dirette ai sistemi AI. I ricercatori si aspettavano istruzioni nascoste per modelli linguistici, hanno trovato esche finanziarie.
Normalizzare il testo e guardare il messaggio con altri occhi
La contromisura principale indicata da Microsoft passa dalla normalizzazione Unicode prima di applicare firme, espressioni regolari e controlli basati sulle parole. Un filtro dovrebbe individuare e rimuovere, oppure trattare in modo esplicito, i caratteri invisibili privi di funzione legittima nel testo analizzato, e solo dopo questa pulizia cercare le parole chiave. Così pre[U+E0020]stito torna equivalente a prestito e il separatore perde ogni utilità. Conviene comunque non buttare via il segnale originario. Trovare TAG SPACE nel mezzo di una comune parola italiana è un comportamento decisamente insolito, quindi meglio normalizzare una copia destinata all’analisi e, in parallelo, assegnare un punteggio di rischio alla presenza del codice anomalo. Lo stesso trattamento andrebbe applicato prima di passare email, documenti o pagine web agli assistenti AI, riducendo in un colpo solo sia l’evasione dei filtri antiphishing sia la prompt injection basata su contenuti nascosti.
C’è poi una difesa aggiuntiva già impiegata da Defender, cioè generare una rappresentazione visiva del contenuto e analizzarla tramite OCR. Se una persona vede prestito, anche il riconoscimento ottico applicato alla versione renderizzata ricostruirà prestito, ignorando il carattere che altera la sequenza. Il confronto tra testo sorgente e testo visibile fa emergere le discrepanze sospette. Resta il costo: renderizzare milioni di messaggi e sottoporli a riconoscimento ottico richiede risorse, e non tutti i gateway di posta si spingono allo stesso livello.
