ASCII Smuggling技術のフィッシング攻撃への転用とフィルタ回避手法

従来生成AI（LLM）に対するプロンプトインジェクション攻撃で多用されていた難読化手法「ASCII Smuggling」が、一般的なフィッシングメールの検知回避（フィルターエベイジョン）手法として実攻撃に悪用された事例がレポートされています。
本来、ASCII Smuggling は「人間に見えない特殊な文字を使ってAIモデルだけに特定の指示（命令）を隠して読み込ませる」目的で使われていました。
しかし、2026年2月以降に確認された大規模な資金調達テーマのフィッシングキャンペーンでは、AIへの命令注入ではなく、キーワード検知や機械学習（ML/NLP）モデルによる迷惑メール判定を回避するためにこの不可視文字が転用されていました。
Microsoft Defender for Office 365 のテレメトリ分析では、本手法を用いたメールが2026年2月9日〜5月15日の約3ヶ月間にわたり平日中心に高ボリュームで送信され、ピーク時（2月26日）には1日あたり約237万件観測されたことが確認されています。
この攻撃で確認された主要な特徴および技術的背景は次の通りです。

• 不可視Unicodeタグ文字（U+E0000〜U+E007F）の悪用
  • 仕組み
    攻撃者は Unicode の「Tags ブロック（U+E0000 〜 U+E007F）」に属する文字を利用しています。
    この文字群は標準的な画面表示やフォントでは描画（レンダリング）されず、人間には見えません。
  • 難読化の実態
    フィッシングメール内の金融関連の誘引単語（例: funding）の途中に、不可視のタグスペース文字（U+E0020）を挿入（例: fun<U+E0020>ding）していました。
    なお、本来のASCII Smugglingのように裏に別の命令文章を隠蔽（Smuggle）しているわけではなく、単語内に不可視文字を1つ挿入して単語を分断させる手法として使用されています。
• 人間と検知エンジンの認識ギャップ（フィルタ回避の狙い）
  • 人間に見せる表示
    受信者のメール画面では文字が描画されないため、通常通り「funding」と正しく読め、不審感を持たれません。
  • 文字列・シグネチャマッチングの破綻
    正規表現や単純な文字列一致ルールで「funding」を検索している検知システムの場合、バイト列の間に不可視文字が挟まることで単語が分断され、判定をスルーしてしまいます。
  • ML / NLP（自然言語処理）モデルの無効化
    メールのセキュリティエンジンが使用するトークナイザー（文字を意味のある単位に分割する処理）が、不可視文字によって単語を「fun」「タグ文字」「ding」のように予期せぬサブトークンへ分断してしまい、スパム/フィッシング判定の精度を低下させます。
• 大規模な送信傾向と平日限定の自動配信パターン
  • 急激なスパイク
    Microsoft のハンティングシグネチャによる検出は 2026年2月9日 に急増し、前日の約2万1,000件から翌日には130万件超へ跳ね上がりました。
  • 厳格な配信スケジュール
    不可視文字による回避手法が適用された約3ヶ月間（2月9日〜5月15日）にわたり、平日に大量送信され、週末（土日）になるとほぼ完全に配信が停止する周期的スケジュールが観測されました。
    なお、フィッシングキャンペーン自体はこの手法の採用前後にわたって存在しており、手法の使用期間のみがこの3ヶ月間に限られています。
• 検知ルール作成時の偽陽性（誤検知）要因と対策
  • 国旗・地域旗絵文字との競合
    Unicode タグ文字（U+E0000〜U+E007F）を一律にブロックする単純なシグネチャを作成すると、イングランド・スコットランド・ウェールズなどの地域旗絵文字（Subdivision flags）に含まれる正規のタグ文字シーケンスを誤検知してしまいます。
  • 防御側の利点
    正規の地域旗絵文字などの文脈を除外するようにチューニングしたシグネチャを作成できれば、一般的な電子メール本文に不可視タグ文字が含まれるケースは極めて稀であるため、偽陽性（誤検知）の少ない強力な脅威検知インジケーターとして機能します。

今回の事例は、「生成AI攻撃向けに編み出された高度な技術が、即座に従来のフィッシングメールやスパムの検知回避（セキュリティフィルター破り）へ流用される」というサイバー脅威の急速なエコシステム変化を象徴しています。
セキュリティ運用者および製品開発者は、以下の点に留意した対策が求められます。

• 正規化（Normalization）処理の徹底
  メール解析パイプラインにおいて、テキスト判定やトークナイズ処理を行う前に、ゼロ幅スペースや Unicode タグ文字などの不可視コードポイントを除去・正規化する処理を入れる。
• Unicode タグ文字の異常監視
  正規の地域旗絵文字を除外した上で、本文内に U+E0000〜U+E007F の範囲が含まれるメールを不審な通信として検知・隔離するルールを整備する。
• 多層防御（Defense in Depth）の維持
  単一の文字インスペクションに頼るのではなく、送信ドメインの評判（Reputation）、送信元IP、添付ファイル・URL解析などを組み合わせた多層的防御を継続する。

ASCII smuggling crosses over from AI prompt injection to phishing evasion
https://www.microsoft.com/en-us/security/blog/2026/09/03/ascii-smuggling-crosses-over-from-ai-prompt-injection-to-phishing-evasion/