Des millions d'e-mails de phishing sont passés en cachant un caractère que personne ne voit

Le mot dans l'e-mail était funding. Ce que le filtre lisait, c'était fun, puis un caractère qu'il ne reconnaissait pas, puis ding. Cet écart minuscule a suffi à faire passer des millions de messages devant des défenses qui cherchaient précisément ce mot.

Les chercheurs de Microsoft Noam Kochavi et Sarah Wolstencroft ont publié les détails le 4 septembre. La technique s'appelle ASCII smuggling et utilise les caractères de balise Unicode, un bloc de points de code qui ne s'affichent absolument pas à l'écran. Jusqu'ici, on en parlait surtout comme d'un moyen de dissimuler des instructions dans un texte qu'un modèle d'IA suivrait et qu'un humain ne verrait jamais. Cette campagne les a dirigés contre la simple recherche de mots-clés. Les chiffres sont frappants : environ 21 000 messages le 8 février, 1,3 million le lendemain, un pic de 2,37 millions en une seule journée fin février, environ 150 domaines expéditeurs aux noms financiers, et un rythme de rafales en semaine et de week-ends silencieux, jusqu'à l'extinction après le 15 mai. Les appâts visaient les personnes déposant une demande de prêt auprès de la Small Business Administration américaine, et les envois passaient par la plateforme marketing ActiveCampaign pour que l'infrastructure d'expédition paraisse tout à fait respectable.

Rien de tout cela ne se repère en plissant les yeux devant un e-mail, et c'est bien le problème. Un message qui arrive dans votre boîte n'a été validé par personne ; il a simplement échappé à un filtre. Jugez-le donc sur ce qu'il vous demande. De l'argent, un identifiant, un document que vous n'attendiez pas, une échéance. Si un message au sujet d'un prêt, d'une facture ou d'une livraison exige une action, fermez-le et passez par une adresse ou une application que vous aviez déjà.

Si un lien vous a bel et bien mené là où il ne fallait pas et que votre navigateur s'ouvre désormais sur un moteur de recherche que vous n'avez jamais choisi, c'est à cela que sert l'assistant de réparation navigateur détourné de Tendvane.