Milhões de e-mails de phishing passaram ao esconder um caráter que ninguém vê

A palavra no e-mail dizia funding. O que o filtro lia era fun, depois um caráter que não reconhecia, depois ding. Esse único intervalo bastou para levar milhões de mensagens à frente de defesas que procuravam exatamente essa palavra.

Os investigadores da Microsoft Noam Kochavi e Sarah Wolstencroft publicaram os detalhes a 4 de setembro. A técnica chama-se ASCII smuggling e usa os carateres de etiqueta do Unicode, um bloco de pontos de código que no ecrã não desenham absolutamente nada. Até agora falava-se deles sobretudo como forma de esconder instruções dentro de um texto que um modelo de IA obedeceria e que um humano nunca veria. Esta campanha apontou-os antes contra a simples correspondência de palavras-chave. Os números são impressionantes: cerca de 21 000 mensagens a 8 de fevereiro, 1,3 milhões no dia seguinte, um pico de 2,37 milhões num único dia no final de fevereiro, aproximadamente 150 domínios remetentes com nomes financeiros e um ritmo de rajadas em dias úteis e fins de semana em silêncio, que se manteve até se apagar depois de 15 de maio. Os iscos visavam quem estava a pedir um empréstimo à Small Business Administration norte-americana, e o correio saía pela plataforma de marketing ActiveCampaign, para que a infraestrutura de envio parecesse perfeitamente respeitável.

Nada disto se apanha a apertar os olhos diante de um e-mail, e é precisamente esse o ponto. Uma mensagem que aterra na sua caixa não foi abonada por ninguém; apenas não fez disparar um filtro. Julgue-a, então, pelo que quer de si. Dinheiro, um início de sessão, um documento que não esperava, um prazo. Se um e-mail sobre um empréstimo, uma fatura ou uma entrega exige que aja, feche-o e entre por um endereço ou uma aplicação que já tinha.

Se uma ligação o levou mesmo onde não devia e o navegador abre agora numa página de pesquisa que nunca escolheu, é para isso que serve o assistente de reparação de navegador sequestrado do Tendvane.