Phishing milionario con caratteri Unicode invisibili: così le email aggirano i filtri

Microsoft ha segnalato una campagna di phishing ad alto volume che inserisce caratteri Unicode invisibili nelle parole usate come esca. L’obiettivo è spezzare le stringhe cercate dai sistemi antispam senza modificare ciò che il destinatario vede sullo schermo.

L’operazione è emersa all’inizio di febbraio 2026 e ha raggiunto il picco il 26 febbraio 2026. Nei giorni feriali sono stati stimati tra uno e 2,37 milioni di messaggi quotidiani. Dopo circa tre mesi di attività intensa, il traffico è diminuito bruscamente dopo il 15 maggio 2026.

Non si tratta di una vulnerabilità software tradizionale. Non sono associati CVE, punteggi CVSS, versioni vulnerabili o aggiornamenti da installare: la campagna sfrutta invece differenze nel modo in cui interfacce, parser e strumenti di sicurezza elaborano il testo Unicode.

Parole leggibili alle persone, frammentate per i filtri

La tecnica viene descritta come una forma di ASCII smuggling. Gli operatori inseriscono nel testo code point Unicode che molte interfacce non visualizzano, creando una divergenza tra la rappresentazione visibile e quella effettivamente analizzata.

Il blocco abusato è Unicode Tags, compreso tra U+E0000 e U+E007F. Contiene equivalenti “ombra” di diversi caratteri ASCII: U+E0041, per esempio, corrisponde alla lettera maiuscola “A”, mentre U+E0061 rappresenta la “a” minuscola. Il blocco era stato progettato per tag linguistici ed è oggi in gran parte deprecato.

Nella campagna, questi caratteri sono intercalati all’interno di parole legate a prestiti e finanziamenti. Una stringa come funding può essere costruita nella forma concettuale:

fun<U+E0020>ding

Il code point inserito fra le due porzioni può restare invisibile nell’interfaccia email. Il destinatario continua quindi a leggere “funding”, ma una regola che cerchi la sequenza ASCII contigua potrebbe non trovarla.

Il problema riguarda soprattutto controlli basati su corrispondenze letterali o espressioni regolari che non prevedono caratteri non renderizzati. A livello di code point, infatti, la parola non è più una sequenza continua. Anche la codifica sottostante contiene dati aggiuntivi tra le lettere attese.

Non tutti i sistemi reagiscono allo stesso modo. Alcuni eliminano o ignorano i tag durante la visualizzazione; altri conservano integralmente la sequenza. Questa incoerenza permette agli aggressori di mostrare un testo apparentemente normale mentre alterano l’input ricevuto dai motori di rilevamento.

Milioni di email con il ritmo di una normale attività lavorativa

L’andamento della campagna mostra una cadenza settimanale marcata. L’invio era intenso durante i giorni feriali, quasi si interrompeva nei fine settimana e riprendeva il lunedì.

I volumi oscillavano tra uno e 2,37 milioni di messaggi al giorno, con il massimo registrato il 26 febbraio 2026. La scala distingue questa operazione dai tentativi sperimentali che avevano già impiegato caratteri invisibili, homoglyph o altre manipolazioni Unicode.

Le esche imitavano offerte di:

• prestiti aziendali;
• linee di credito;
• finanziamenti anticipati.

Il possibile impatto non si limita al clic su una singola email fraudolenta. Le pagine raggiunte attraverso i messaggi possono essere usate per raccogliere credenziali, informazioni sulle imprese e dati finanziari. Questi elementi possono poi alimentare campagne di spear-phishing più precise.

La presenza di termini finanziari spezzati mediante Unicode riduce inoltre l’efficacia delle regole statiche. Un filtro che cerca soltanto parole come “funding”, “loan” o “credit” nella loro forma ASCII rischia di non riconoscere varianti visivamente identiche.

ActiveCampaign usata come infrastruttura di inoltro

I messaggi sono stati inoltrati attraverso ActiveCampaign, piattaforma legittima per marketing e automazione. I collegamenti presenti nelle email passavano anche dai domini impiegati dal servizio per il tracciamento dei clic:

• acemlnd[.]com
• activehosted[.]com

L’uso di un fornitore conosciuto offre agli aggressori un vantaggio reputazionale. Il traffico può provenire da infrastrutture con autenticazione e reputazione IP consolidate, assumendo caratteristiche simili a quelle di una normale campagna commerciale.

Questo non rende malevoli tutti i messaggi o i collegamenti associati ai domini di ActiveCampaign. Sono servizi condivisi, utilizzati anche da clienti legittimi. Gli indicatori devono quindi essere correlati con il contenuto dell’email, i domini di destinazione, l’età dei domini mittenti e la presenza anomala di caratteri Unicode.

ActiveCampaign ha dichiarato di avere verificato i propri sistemi di moderazione con messaggi contenenti caratteri invisibili. Secondo l’azienda, le versioni offuscate ricevono lo stesso verdetto delle corrispondenti email non manipolate; un impiego intenso di questi code point viene inoltre considerato sospetto.

La campagna ha fatto ricorso a centinaia di domini mittenti usa-e-getta con nomi ispirati al credito e alla finanza. Fra quelli con il maggior numero di accessi figurano:

guardiangrowthfunding[.]com
digitalcapitalboost[.]com
thebusinessloanexpress[.]com
yourlocfunding[.]com
advancefundingboost[.]com
guardiancapitalway[.]com
harboradvancefunding[.]com
unitedfundingwave[.]com
directcapitalboost[.]com
onlinedirectfinance[.]com

Questi domini possono essere usati come indicatori per attività di threat hunting, senza considerarli isolatamente una firma sufficiente per bloccare qualsiasi messaggio.

Il collegamento con il phishing contro i richiedenti SBA

Microsoft ritiene che l’attività sia collegata a una campagna più ampia che aveva già abusato di ActiveCampaign per inviare migliaia di email generate con strumenti di intelligenza artificiale. Le vittime prese di mira erano richiedenti di prestiti della Small Business Administration (SBA).

I dettagli di quell’operazione erano stati resi pubblici dal team Fortra Intelligence and Research Experts (FIRE) nel settembre 2025. Lo scopo apparente era raccogliere informazioni approfondite sulle aziende e sulla condizione finanziaria delle vittime, probabilmente in preparazione di attacchi successivi più personalizzati.

Una caratteristica dell’operazione era la produzione su larga scala di siti credibili, adattati a domini diversi, compresi indirizzi illegittimi o costruiti per impersonare altre organizzazioni. Le funzioni di automazione marketing basate su AI consentivano di cambiare rapidamente testi, grafica e percorso delle pagine.

Il ricorso all’intelligenza artificiale non sostituisce quindi l’infrastruttura classica del phishing. La rende più veloce da modificare e più semplice da replicare su numerosi domini.

Che cosa devono cercare i team di sicurezza

Poiché non esiste una patch, la mitigazione deve interessare la pipeline di analisi della posta. I gateway non dovrebbero limitarsi a cercare keyword ASCII contigue, ma esaminare anche la sequenza Unicode originale.

Un controllo efficace può prevedere due rappresentazioni parallele:

1. il contenuto grezzo, conservato per analisi forense e rilevamento dei code point sospetti;
2. una copia trasformata per la classificazione, dalla quale rimuovere o marcare i caratteri del blocco U+E0000–U+E007F.

La trasformazione non dovrebbe cancellare le prove prima della registrazione. Il confronto tra testo originale e testo ripulito può diventare esso stesso un segnale: se una parola finanziaria compare soltanto dopo la rimozione dei tag, il messaggio merita un controllo aggiuntivo.

I team SOC possono cercare la combinazione di:

• code point compresi tra U+E0000 e U+E007F;
• parole finanziarie interrotte da caratteri non renderizzati;
• domini mittenti recenti o usa-e-getta;
• offerte non richieste di prestiti e linee di credito;
• reindirizzamenti tramite acemlnd[.]com o activehosted[.]com;
• destinazioni finali diverse dal dominio mostrato;
• moduli che richiedono credenziali o informazioni finanziarie aziendali.

Anche i sistemi basati su modelli linguistici richiedono cautela. Contenuti invisibili acquisiti da email, documenti o pagine web possono essere interpretati diversamente dai componenti che li visualizzano. Ciò apre anche possibili scenari di prompt injection quando dati esterni vengono inseriti automaticamente nel contesto di un assistente AI.

La difesa, in questo caso, parte dalla coerenza: ciò che viene mostrato all’utente, analizzato dal filtro e passato a eventuali modelli AI deve essere sottoposto alle stesse regole di canonicalizzazione e controllo. Altrimenti, uno spazio che nessuno vede può bastare per separare una parola dal suo rilevatore.