Phishers omzeilen spamfilters met onzichtbare Unicode-tekens

De gebruikte techniek staat bekend als ASCII smuggling. Deze techniek werd de afgelopen tijd vooral bekend als een manier om verborgen opdrachten aan AI-systemen mee te geven. Nu blijkt dezelfde aanpak ook te worden ingezet om spam- en phishingfilters te omzeilen.

Daarvoor wordt gebruikgemaakt van Unicode, de standaard waarin letters, cijfers, emoji en allerlei andere tekens digitaal worden vastgelegd. Unicode bevat ook tekens die normaal gesproken niet zichtbaar op je scherm verschijnen.

De phishingcampagne die Microsoft onderzocht, gebruikte tekens uit het zogenoemde Unicode Tags-blok. Deze Unicode-tekens staan wel in de tekst, maar zijn in veel lettertypes en programma's niet zichtbaar. Daardoor kan er bijvoorbeeld technisch gezien iets als dit in een mail staan:

fun[onzichtbaar teken]ding

Op het scherm lees je gewoon 'funding'. Normaliter zou beveiligingssoftware aanslaan op zo'n financiële term. Maar door het onzichtbare teken ziet de software nu niet langer één, maar twee woorden: 'fun' en 'ding'. Onschuldige woorden - en dus wordt het bericht doorgelaten.

Dat effect speelt vooral bij eenvoudige beveiligingsfilters die zoeken naar specifieke woorden of patronen. Als zo'n systeem letterlijk zoekt naar 'funding', komt de letterreeks door het verborgen teken niet meer exact overeen.

Ook modernere spamfilters kunnen er last van hebben. Die delen tekst vaak eerst op in kleinere stukjes, zogenaamde tokens. Door het onzichtbare teken kan een woord als 'funding' anders worden opgeknipt dan normaal. Het filter ziet dan niet meer dezelfde bekende combinatie, waardoor het woord mogelijk minder snel als verdacht wordt herkend.

De techniek werd de afgelopen tijd vooral besproken in onderzoek naar prompt injection: aanvallen waarbij verborgen instructies in bijvoorbeeld websites, documenten of e-mails worden gestopt. Een mens ziet die instructies niet, maar een AI-assistent die de oorspronkelijke tekst verwerkt kan ze soms wel lezen. Een aanvaller probeert het AI-systeem vervolgens iets te laten doen wat niet de bedoeling is.

De campagne die Microsoft ontdekte is geen voorbeeld van AI-phishing in strikte zin. Er werden geen verborgen opdrachten aan een AI-model verstopt. De onzichtbare tekens werden gebruikt om woorden juist moeilijker herkenbaar te maken voor beveiligingssoftware.

Volgens Microsoft ging het niet om een kleine campagne. Op 9 februari 2026 steeg het aantal berichten dat aan het detectiepatroon voldeed plotseling sterk. Een dag eerder waren het er ongeveer 21.000, op 9 februari meer dan 1,3 miljoen. In de drie maanden die volgden, werden er dagelijks ongeveer één tot ruim twee miljoen berichten verstuurd. De mails gingen vooral over zakelijke financiering, leningen en krediet. Opvallend: ze werden vooral tijdens werkdagen verstuurd.

De mails werden verstuurd via een legitiem platform waarmee bedrijven marketingmails versturen. Dat betekent niet dat dit mailplatform zelf achter de campagne zat. Criminelen kunnen bestaande diensten misbruiken om hun berichten minder verdacht te laten lijken. Zo'n platform gebruikt bekende mailservers en heeft een bestaande verzendreputatie. Daardoor kan een bericht op basis van alleen de technische afzender lastiger als verdacht worden aangemerkt.

Het idee om woorden met onzichtbare of afwijkende tekens te veranderen, bestaat al veel langer. Spammers gebruiken bijvoorbeeld zero-width spaces, non-breaking spaces, zachte afbreektekens en homoglyphen om te voorkomen dat een filter een woord precies zo ziet als jij het op je scherm leest.

Bij deze campagne zat het verschil vooral in de gebruikte tekens. De aanvallers gebruikten specifiek Unicode Tags: onzichtbare Unicode-tekens die oorspronkelijk bedoeld zijn om tekst van extra metadata te voorzien. In deze campagne werden ze gebruikt om woorden technisch op te splitsen, iets wat cybercriminelen tot dan toe meestal met zero-width spaces of non-breaking spaces deden.

Omdat Unicode Tags minder vaak voor phishing worden misbruikt, kunnen ze een zwakke plek in spamfilters blootleggen. Een spamfilter dat bekende onzichtbare tekens netjes verwijdert of omzet, verwerkt Unicode Tags niet automatisch op dezelfde manier. Microsoft adviseert beveiligers daarom expliciet te controleren hoe hun systemen deze tekens normaliseren en in tokens opdelen.

• Zero-width spaces: onzichtbare spaties die midden in een woord kunnen staan. Voor jou blijft het woord hetzelfde ogen, maar technisch wordt het opgedeeld.
• Non-breaking spaces: speciale spaties die eruitzien als gewone spaties, maar digitaal als een ander teken worden opgeslagen.
• Zachte afbreektekens: onzichtbare tekens die aangeven waar een woord eventueel mag worden afgebroken, bijvoorbeeld aan het einde van een regel.
• Homoglyphen: letters of tekens die bijna hetzelfde ogen als gewone Latijnse letters, maar uit een ander alfabet komen. Denk aan een Cyrillische 'а' die sterk lijkt op een Latijnse 'a'.

Kort antwoord: meestal niet. En juist daardoor kan deze techniek werken.

Lang antwoord: omdat een verborgen Unicode-teken voor jou onzichtbaar blijft, zie je geen vreemd teken tussen de letters. Het woord ziet er op het scherm dus gewoon normaal uit. Een phishingmail kan daardoor precies dezelfde tekst tonen als een versie zonder verborgen Unicode-teken. Daardoor wordt het lastiger om zo'n bericht met het blote oog van een normale mail te onderscheiden.

Voor jou en mij blijft phishing herkennen daarom vooral een kwestie van goed kijken naar de afzender, links en de context van het bericht. Klik niet automatisch op links in onverwachte berichten en ga bij twijfel zelf naar de officiële website van een bedrijf of organisatie.

Krijg je een mail waarin je een lening of financiering wordt aangeboden zonder dat je dat zelf hebt aangevraagd, dan is het helemaal zaak om dat bericht extra goed te controleren. Of, beter nog, meteen weggooien.

Microsoft heeft ook advies voor makers van beveiligingssoftware. Zo is het belangrijk om tekst voor analyse eerst te normaliseren. Daarbij worden onzichtbare Unicode-tekens verwijderd of omgezet, zodat filters woorden, patronen en andere signalen beter kunnen herkennen.

Zo wordt bijvoorbeeld 'fun[onzichtbaar teken]ding' vóór de controle genormaliseerd tot 'funding', zodat de tekst daarna correct kan worden geanalyseerd. Microsoft adviseert daarnaast om de aanwezigheid van zulke tag-tekens zelf als verdacht signaal mee te nemen, omdat ze in normale e-mail maar zelden voorkomen.

Phishingcriminelen gebruiken onzichtbare Unicode-tekens om woorden technisch op te splitsen, terwijl jij als ontvanger gewoon hetzelfde woord blijft zien. Zo proberen ze automatische phishingdetectie te omzeilen.

De truc zelf is niet nieuw. Wel zag Microsoft op grote schaal een minder gebruikelijk type onzichtbaar teken dat vooral bekend is uit onderzoek naar AI-aanvallen. Juist omdat deze Unicode Tags nog relatief weinig voor phishing worden gebruikt, kunnen ze beveiligingsfilters op een andere manier misleiden.