Milioni di e-mail di phishing sono passate nascondendo un carattere che nessuno vede

Nella e-mail c'era scritto funding. Quello che il filtro leggeva era fun, poi un carattere che non riconosceva, poi ding. Quel singolo spazio è bastato a far passare milioni di messaggi davanti a difese che cercavano esattamente quella parola.

I ricercatori di Microsoft Noam Kochavi e Sarah Wolstencroft hanno pubblicato i dettagli il 4 settembre. La tecnica si chiama ASCII smuggling e usa i caratteri tag di Unicode, un blocco di code point che sullo schermo non mostrano assolutamente nulla. Finora se ne parlava soprattutto come modo per nascondere istruzioni dentro un testo che un modello di IA avrebbe eseguito e che un umano non avrebbe mai visto. Questa campagna li ha puntati invece contro il normale confronto per parole chiave. I numeri sono notevoli: circa 21.000 messaggi l'8 febbraio, 1,3 milioni il giorno dopo, un picco di 2,37 milioni in un solo giorno a fine febbraio, circa 150 domini mittenti a tema finanziario e un ritmo fatto di raffiche infrasettimanali e fine settimana silenziosi, andato avanti fino a spegnersi dopo il 15 maggio. Le esche puntavano a chi stava chiedendo un prestito alla Small Business Administration statunitense, e la posta usciva dalla piattaforma di marketing ActiveCampaign, così l'infrastruttura di invio sembrava del tutto rispettabile.

Niente di tutto questo si nota strizzando gli occhi davanti a un messaggio, ed è proprio il punto. Un'e-mail che arriva nella tua casella non è stata garantita da nessuno; semplicemente non ha fatto scattare un filtro. Giudicala quindi per quello che ti chiede. Soldi, credenziali, un documento che non aspettavi, una scadenza. Se una mail su un prestito, una fattura o una consegna pretende che tu agisca, chiudila e passa da un indirizzo o da un'app che avevi già.

Se un link ti ha davvero portato dove non doveva e il browser ora si apre su una pagina di ricerca che non hai mai scelto, è per questo che esiste la procedura guidata browser dirottato di Tendvane.