Chiến dịch phishing quy mô lớn sử dụng ký tự Unicode ẩn để qua mặt bộ lọc email

Microsoft vừa phát đi cảnh báo về một chiến dịch phishing có quy mô lớn, sử dụng kỹ thuật chèn các ký tự Unicode ẩn (invisible Unicode tag characters) nhằm qua mặt các bộ lọc email truyền thống. Kỹ thuật này cho phép kẻ tấn công chia nhỏ các từ khóa nhạy cảm, khiến hệ thống bảo mật không thể nhận diện được nội dung độc hại.

Theo đội ngũ nghiên cứu bảo mật của Microsoft, các đối tượng tấn công đã lạm dụng khối Unicode Tags (từ U+E0000 đến U+E007F). Đây là các ký tự không hiển thị trên giao diện người dùng nhưng lại được các hệ thống phân tích hoặc mô hình AI (LLM) xử lý như văn bản bình thường. Bằng cách chèn các ký tự này vào giữa các từ khóa tài chính như ‘funding’, kẻ tấn công biến chúng thành các chuỗi ký tự mà bộ lọc không thể khớp với danh sách đen (blacklist) hoặc các quy tắc regex thông thường, trong khi người nhận vẫn đọc được nội dung một cách hoàn toàn tự nhiên.

Chiến dịch này bắt đầu từ tháng 2/2026 và đạt đỉnh điểm với hàng triệu email được gửi đi mỗi ngày trong khoảng thời gian từ tháng 2 đến tháng 5/2026. Các email này thường giả mạo các dịch vụ tài chính, khoản vay doanh nghiệp và được phát tán thông qua nền tảng marketing tự động ActiveCampaign. Việc sử dụng một nền tảng uy tín để gửi email giúp kẻ tấn công tận dụng được độ tin cậy của IP và các chứng thực xác thực (authentication), khiến các bộ lọc dựa trên danh tiếng (reputation-based filtering) khó lòng phát hiện.

Đáng chú ý, các email này sử dụng hàng trăm tên miền dùng một lần (disposable domains) có chủ đề tài chính để lừa đảo người dùng. Mọi liên kết trong email đều được chuyển hướng qua các tên miền theo dõi click của chính ActiveCampaign, làm tăng thêm độ tin cậy cho các thông điệp phishing.

Mặc dù kỹ thuật sử dụng ký tự ẩn hoặc ký tự tương tự (homoglyph) không phải là mới, nhưng việc ứng dụng khối Unicode Tags ở quy mô hàng triệu tin nhắn mỗi ngày cho thấy sự tiến hóa trong phương thức evasion technique của tội phạm mạng. Các chuyên gia khuyến cáo các tổ chức cần cập nhật hệ thống bảo mật để có khả năng nhận diện và chuẩn hóa các ký tự Unicode bất thường trước khi thực hiện các bước kiểm tra nội dung (content inspection).

Nguồn tham khảo: The Hacker News