Unicode invisibles : des pirates déjouent les filtres phishing

Des e-mails truffés de caractères Unicode invisibles ont visé des candidats à des prêts garantis aux États‑Unis pour contourner des filtres basés sur les mots‑clés. Microsoft affirme avoir stoppé l’immense majorité des envois et alerte sur ces caractères anormaux, tandis que Fortra décrit des faux sites de prêt générés et variés automatiquement.

Microsoft dit avoir bloqué 99 % des messages, malgré des pics à 2,3 millions

Microsoft rapporte avoir intercepté 99 % des courriels utilisant cette technique grâce à d’autres couches de Defender for Office 365, qui reposent sur la réputation des domaines, l’authentification et des modèles d’apprentissage automatique. L’entreprise recommande désormais de considérer la présence de caractères Unicode Tags comme une anomalie, car ils sont rares dans les échanges ordinaires. En février, environ 21 000 messages contenant ces caractères ont été détectés, puis plus de 1,3 million le lendemain, avec un pic à plus de 2,3 millions plus tard dans le mois. Une journée a ainsi cumulé jusqu’à 2,3 millions d’envois. La campagne, menée à un rythme hebdomadaire et interrompue le week-end, s’est essoufflée le 15 mai.

Des balises Unicode dissimulées font chuter les correspondances de mots‑clés

La technique de smuggling ASCII consiste à insérer des caractères Unicode invisibles au cœur des mots ou des phrases. Ces caractères, appartenant au bloc Unicode Tags (U+E0000 à U+E007F), ne sont pas visibles à l’affichage mais les systèmes les considèrent comme des caractères standards. À l’origine, ces balises étaient utilisées pour représenter des drapeaux régionaux tels que ceux de l’Angleterre, de l’Écosse ou du pays de Galles. Quand elles sont insérées dans un mot comme « financement », elles ne modifient pas l’apparence du texte pour le lecteur, mais bloquent la détection exacte par les filtres antispam. Cette méthode, conçue par des chercheurs en sécurité de l’IA pour dissimuler des instructions à des agents conversationnels comme ChatGPT, a été détournée pour contourner les filtres antiphishing.

Des e-mails envoyés via ActiveCampaign ont ciblé des demandeurs de prêts

Entre février et mai, les e-mails ont été relayés via la plateforme marketing ActiveCampaign à destination de demandeurs de prêts garantis par la Small Business Administration américaine. Pour cette campagne, 148 domaines financiers temporaires ont été utilisés, chacun dérivé de 28 bases lexicales différentes. Selon Fortra, à partir de septembre 2025, il existait déjà des milliers de sites de prêt frauduleux présentant des portraits créés par intelligence artificielle, qui variaient d’une version à l’autre, ce qui révèle un processus de création automatisé. Les outils d’automatisation proposés par ActiveCampaign permettaient d’ajuster la présentation, le contenu et le parcours utilisateur à partir d’un modèle unique. Chaque site promettait un financement en 48 heures de 4 à 10 millions de dollars (environ 3,7 à 9,2 millions d’euros). D’après Daud Jawad, ingénieur sécurité chez Fortra, 45 domaines d’URL uniques ont été exploités à partir de 12 domaines d’envoi.