Millionen Phishing-Mails kamen durch, weil sie ein unsichtbares Zeichen versteckten
In der Mail stand funding. Der Filter las fun, dann ein Zeichen, das er nicht kannte, dann ding. Diese eine Lücke reichte, um Millionen Nachrichten an Abwehrmechanismen vorbeizuführen, die genau nach diesem Wort suchten.
Die Microsoft-Forscher Noam Kochavi und Sarah Wolstencroft veröffentlichten die Details am 4. September. Der Trick heißt ASCII Smuggling und nutzt Unicode-Tag-Zeichen, einen Block von Codepunkten, die auf dem Bildschirm überhaupt nichts darstellen. Bisher wurden sie vor allem als Möglichkeit diskutiert, Anweisungen in Text zu verstecken, denen ein KI-Modell folgen würde und die ein Mensch nie sieht. Diese Kampagne richtete sie stattdessen gegen gewöhnlichen Stichwortabgleich. Die Zahlen sind bemerkenswert: rund 21 000 Nachrichten am 8. Februar, 1,3 Millionen am Folgetag, ein Höchstwert von 2,37 Millionen an einem einzigen Tag Ende Februar, etwa 150 Absenderdomains mit Finanzbezug und ein Rhythmus aus Werktagsschüben und stillen Wochenenden, der bis zum Abklingen nach dem 15. Mai lief. Die Köder zielten auf Menschen, die einen Kredit bei der US-Behörde Small Business Administration beantragten, und der Versand lief über die Marketingplattform ActiveCampaign, damit die Versandinfrastruktur ganz seriös aussah.
Nichts davon lässt sich erkennen, indem man eine Mail scharf anschaut, und genau das ist der Punkt. Eine Nachricht, die in Ihrem Posteingang landet, wurde von niemandem geprüft; sie ist lediglich durch einen Filter geschlüpft. Beurteilen Sie sie also danach, was sie von Ihnen will. Geld, eine Anmeldung, ein Dokument, das Sie nicht erwartet haben, eine Frist. Wenn eine Mail zu Kredit, Rechnung oder Lieferung eine Handlung verlangt, schließen Sie sie und gehen Sie über eine Adresse oder App, die Sie schon hatten.
Falls ein Link doch dort gelandet ist, wo er nicht sollte, und Ihr Browser jetzt eine Suchseite öffnet, die Sie nie ausgewählt haben, ist dafür der Reparaturassistent Browser entführt von Tendvane da.