Golpes de phishing escondem palavras-chave com caracteres Unicode invisíveis para enganar filtros
Pesquisadores identificaram campanhas de phishing que usam caracteres Unicode invisíveis do bloco Tags para fragmentar palavras-chave sensíveis, como “funding” e “credit”, e assim escapar de filtros de e-mail baseados em listas de termos. A Microsoft chegou a registrar picos de 2,37 milhões de mensagens diárias em uma dessas campanhas, embora tenha barrado mais de 99% delas usando outros sinais de detecção.
Uma técnica batizada de “ASCII smuggling” vem sendo usada em campanhas de phishing para driblar filtros de segurança de e-mail. Ela consiste em inserir caracteres Unicode do bloco Tags (faixa U+E0000–U+E007F), que não têm representação visual, no meio de palavras-chave associadas a finanças — por exemplo, transformando “funding” em “fun” + caractere invisível + “ding”. A Microsoft observou uma campanha desse tipo atingir picos de 2,37 milhões de mensagens em um único dia no mês de fevereiro, concentrada em termos como “funding”, “capital”, “loan” e “credit”, usados para atrair vítimas com ofertas falsas de crédito e financiamento.
O truque funciona porque a maioria dos filtros anti-phishing baseados em correspondência de palavras-chave procura a string exata “funding” no corpo do e-mail; com o caractere invisível no meio, essa busca falha silenciosamente. Ao mesmo tempo, como esses caracteres não têm glifo (forma visual), o cliente de e-mail do destinatário renderiza a mensagem exatamente como se o caractere não estivesse ali — a vítima não percebe absolutamente nada de diferente na tela.
O golpe em si continua sendo o phishing tradicional: um e-mail oferecendo crédito, financiamento ou empréstimo, com urgência artificial e um link para um domínio que reforça o tema (algo como “meucredito-financiamento.com”). Como a manipulação de caracteres é invisível ao olho humano, o usuário não tem como perceber a técnica por inspeção visual — o que continua valendo como sinal de alerta é o padrão de sempre: oferta financeira não solicitada, remetente desconhecido e link para domínio genérico fora do banco ou instituição real.
Do lado técnico, a própria Microsoft recomenda que produtos de segurança normalizem (removam) caracteres Unicode de marcação antes de rodar qualquer filtro por palavra-chave, fechando essa brecha na origem. Vale notar que, apesar da técnica de evasão, o Defender ainda bloqueou mais de 99% dessas mensagens recorrendo a outros sinais, como reputação de domínio e verificação de IP de origem — prova de que defesas em camadas, que não dependem só de correspondência textual, continuam sendo a proteção mais eficaz contra esse tipo de evolução do phishing.