Des attaquants masquent leurs leurres de phishing avec des caractères Unicode invisibles

Des acteurs malveillants exploitent désormais une technique d’ASCII smuggling pour dissimuler des leurres de phishing dans des emails, en utilisant des caractères Unicode invisibles issus du bloc Tags (U+E0000–U+E007F). Cette méthode permet de contourner les filtres de sécurité traditionnels et de tromper les utilisateurs.

Selon Microsoft, une campagne à grande échelle a atteint un pic de 2,37 millions de messages par jour fin février 2026, avant de diminuer progressivement en mai. « La phase de haute intensité a persisté pendant environ trois mois après le 9 février, puis a chuté brutalement après le 15 mai 2026 », précise Microsoft. Cette technique spécifique a été observée dans les données de télémétrie de l’entreprise, mais la campagne globale, lancée plus tôt, se poursuit toujours.

Un camouflage indétectable pour les systèmes classiques

Les caractères Unicode invisibles, bien que non affichés à l’écran, sont interprétés par les systèmes et peuvent contenir des instructions malveillantes. Cette approche, initialement utilisée dans des attaques par injection de prompts pour l’intelligence artificielle, est désormais détournée pour des campagnes de phishing ciblant les utilisateurs professionnels et particuliers.

Les experts soulignent que cette technique exploite une faille dans la manière dont les filtres de sécurité analysent le contenu des emails. Les caractères invisibles ne sont pas détectés comme du texte, ce qui permet aux attaquants de contourner les systèmes de détection basés sur l’analyse de texte.

Cette méthode représente un défi croissant pour les entreprises et les particuliers en Afrique, où l’adoption des outils numériques s’accélère. Les utilisateurs doivent redoubler de vigilance, notamment face aux emails semblant légitimes mais contenant des leurres camouflés.

Les chercheurs recommandent de renforcer les systèmes de détection avec des outils capables d’analyser les métadonnées et les structures des emails, plutôt que de se fier uniquement au contenu textuel visible.

Pour en savoir plus sur les vulnérabilités et les correctifs disponibles, consultez les alertes de sécurité de Microsoft : BleepingComputer.

Passez à l'action avec BNTIC News

Pour vérifier la légitimité d’un email suspect, utilisez BNTIC ScamCheck, un outil gratuit qui analyse les indices de risque d’un message ou d’un lien avant toute action.