Microsoft met en garde contre une « campagne d’hameçonnage à grande échelle » qui utilise des caractères Unicode invisibles pour contourner les filtres de messagerie.

« Au lieu d’utiliser ces caractères pour dissimuler des instructions aux utilisateurs tout en les exposant à des modèles d’IA, l’attaquant les a utilisés pour scinder des mots d’appât financiers tels que « financement » afin d’empêcher les filtres de messagerie de les analyser », a déclaré l’équipe de recherche en sécurité de Microsoft .

Le créateur de Windows a déclaré que ces découvertes démontrent que les techniques d’évasion propres à l’ère de l’IA peuvent être adaptées par les acteurs malveillants dans le cadre de campagnes d’hameçonnage et de spam classiques. Les premières attaques exploitant cette approche seraient apparues début février 2026.

Le détournement de caractères ASCII est une technique qui consiste à utiliser des caractères Unicode invisibles ou non rendus pour dissimuler des messages ou des instructions dans un texte apparemment inoffensif. De ce fait, les interfaces utilisateur ne les affichent pas, et le texte apparaît parfaitement normal à l’utilisateur.

Cependant, ce type de contenu peut être intercepté par les filtres anti-spam ou les modèles de langage d’IA, qui le considèrent par erreur comme du texte authentique. Ceci peut permettre l’injection de messages dans les invites, en exploitant l’incapacité des grands modèles de langage (LLM) à établir une frontière fiable entre les instructions utilisateur saisies directement dans une invite et le contenu intégré dans un texte d’apparence anodine ou provenant de sources tierces telles que des pages web, des documents ou des courriels.

« La plage la plus souvent utilisée à mauvais escient est le bloc des balises Unicode, de U+E0000 à U+E007F », a déclaré Microsoft. « Ce bloc contient une copie fantôme des caractères ASCII imprimables (par exemple, U+E0041 correspond à ‘A’, U+E0061 à ‘a’). Ce bloc était initialement destiné à l’étiquetage linguistique et est désormais largement obsolète. »

Selon le fabricant de Windows, la campagne d’hameçonnage axée sur le trafic de caractères ASCII est entrée dans une phase de forte activité pendant environ trois mois avant de chuter brutalement après le 15 mai 2026. L’activité aurait suivi un rythme hebdomadaire, la campagne devenant presque totalement silencieuse le week-end et reprenant de plus belle le lundi.

On estime que le volume des messages en semaine atteindra entre 1 et 2,37 millions, avec un pic le 26 février 2026. Cette campagne serait liée à une campagne d’hameçonnage plus vaste qui a utilisé la plateforme de marketing et d’automatisation ActiveCampaign pour diffuser des milliers de courriels d’hameçonnage générés par l’IA ciblant les demandeurs de prêts de la Small Business Administration (SBA).

Les détails de la campagne de phishing ont été divulgués par l’équipe Fortra Intelligence and Research Experts (FIRE) en septembre 2025, indiquant que l’opération se concentre sur la collecte d’informations commerciales et financières détaillées, susceptibles de permettre un spear-phishing hautement ciblé lors de futures attaques.

« La sophistication et l’originalité de cette campagne résident dans sa capacité à produire en masse des sites web convaincants et personnalisés, adaptables à différents domaines illégitimes ou usurpés », avait alors souligné Fortra . « Les cybercriminels peuvent déployer des attaques de phishing sophistiquées à grande échelle en utilisant les fonctionnalités d’automatisation marketing d’ActiveCampaign, basées sur l’IA, pour varier la conception, le contenu et le déroulement, et ainsi créer plus rapidement des campagnes de phishing plus convaincantes. »

D’après Microsoft, la dernière série d’e-mails d’hameçonnage utilise des caractères de balise invisibles comme modèle d’obfuscation, en les insérant dans des mots-clés financiers courants afin de les scinder et de contourner les filtres de messagerie qui recherchent des correspondances de mots-clés ou de signatures littérales.

Par exemple, un terme d’appât lié à la finance tel que « funding » devient « fun⟨U+E0020⟩ding », de sorte qu’il semble normal au destinataire du courriel tout en ayant pour effet secondaire de contourner les contrôles de sécurité du courriel.

« Pour un destinataire et pour les chaînes de traitement qui suppriment ou normalisent ces caractères, le mot reste « funding » », explique Microsoft. « En revanche, pour un détecteur qui identifie la chaîne littérale « funding » ou pour une expression régulière qui ne tient pas compte des points de code invisibles entrelacés, la séquence d’octets ne contient plus le mot-clé. »

Bien que l’utilisation de caractères invisibles ou similaires ne soit pas une technique nouvelle dans les attaques de phishing et d’homoglyphes , ce qui est nouveau, c’est le choix des caractères utilisés – à savoir le bloc des balises Unicode – et l’ampleur de la campagne elle-même, qui a généré des millions de messages par jour.

Il a été constaté que la campagne exploitait des centaines de domaines d’expéditeur jetables à thématique financière, utilisant des leurres imitant les schémas d’hameçonnage liés aux prêts aux entreprises, aux lignes de crédit et aux avances de fonds, généralement associés à la fraude ou aux tentatives de vol d’identifiants. Les 10 domaines d’expéditeur les plus utilisés sont listés ci-dessous.

• guardiangrowthfunding[.]com
• digitalcapitalboost[.]com
• thebusinessloanexpress[.]com
• votrelocfunding[.]com
• advancefundingboost[.]com
• guardiancapitalway[.]com
• harboradvancefunding[.]com
• unitedfundingwave[.]com
• directcapitalboost[.]com
• onlinedirectfinance[.]com

De plus, ces e-mails provenant de ces domaines à thème financier sont relayés par ActiveCampaign, ce qui fait que chaque lien sortant dans le corps du message est acheminé via ses propres domaines de suivi des clics (« acemlnd[.]com » et « activehosted[.]com »).

ActiveCampaign a déclaré avoir testé ses systèmes de modération de contenu avec des messages contenant des caractères Unicode invisibles, et que ces courriels reçoivent le même verdict de modération que leurs équivalents non obscurcis. L’entreprise a également indiqué qu’un recours fréquent à cette technique est considéré comme un signal suspect.

« Comme pour tout service d’envoi partagé, l’utilisation abusive des comptes clients ou des flux de travail par des attaquants peut compliquer le filtrage basé sur la réputation », a déclaré Microsoft. « En provenant d’une plateforme marketing réputée, bénéficiant d’une réputation IP et d’une authentification établies, l’activité peut ressembler davantage à du trafic marketing légitime et compliquer le filtrage basé sur la réputation. »

https://thehackernews.com/2026/09/phishing-campaign-sends-millions-of.html