Contrabando ASCII migra da IA para o phishing em massa

Uma técnica que ficou conhecida em 2025 por enganar assistentes de inteligência artificial acabou reaproveitada para um objetivo bem mais antigo: driblar filtros de e-mail. A constatação é da Microsoft, que publicou em 3 de setembro de 2026 uma análise assinada pela equipe de pesquisa de segurança e pelos analistas Noam Kochavi e Sarah Wolstencroft.

O achado tem uma origem curiosa. A regra de caça que detectou a campanha não foi escrita para procurar phishing: foi construída para identificar tentativas de injeção de prompt em mensagens de e-mail, dentro do trabalho de proteção do Microsoft Defender para Office 365. Ela encontrou outra coisa — milhões de mensagens de golpe financeiro usando os mesmos caracteres invisíveis, mas com finalidade oposta.

O que é o contrabando ASCII

O termo ASCII smuggling, ou contrabando ASCII, descreve o uso de caracteres Unicode invisíveis ou que não são desenhados na tela para esconder conteúdo dentro de um texto de aparência normal.

O bloco mais explorado é o de tags Unicode, que ocupa a faixa U+E0000 a U+E007F. Ele contém uma cópia sombra dos caracteres ASCII imprimíveis: U+E0041 espelha a letra A, U+E0061 espelha a letra a, e assim por diante. O bloco foi criado originalmente para marcação de idioma e hoje está em grande parte obsoleto.

A propriedade que interessa ao atacante é simples: a maioria desses pontos de código não é renderizada por fontes e interfaces comuns. Uma cadeia de texto pode, portanto, carregar uma mensagem ilegível para a pessoa e ainda assim processada normalmente por qualquer software — ou modelo de linguagem — que receba o conteúdo bruto.

Por que a área de segurança de IA popularizou a técnica

No último ano, o contrabando ASCII virou recorrente na literatura sobre injeção de prompt e injeção cruzada de prompt (XPIA). O padrão de ataque é direto: o atacante esconde instruções em caracteres de tag invisíveis dentro de uma página, documento ou e-mail; a pessoa não vê nada fora do comum; mas o assistente de IA que ingere o texto bruto enxerga os caracteres, decodifica o conteúdo e pode ser induzido a seguir instruções de terceiros, com consequências que variam conforme as permissões e as salvaguardas do assistente.

Como o método demonstra com clareza a distância entre o que o humano lê e o que o modelo processa, ele apareceu em muitos relatos de red teaming, palestras e ferramentas ao longo de 2025. Foi esse holofote que trouxe o bloco U+E0000 a U+E007F de volta à cena.

A regra que errou em bandeiras

A construção da assinatura rendeu um detalhe instrutivo. A primeira versão sinalizava qualquer ponto de código da faixa e se mostrou grosseira demais: disparava sobre mensagens legítimas que continham um dos três emojis de bandeira de subdivisão do Reino Unido — Inglaterra, Escócia e País de Gales —, porque esses emojis são codificados justamente com caracteres de tag. A bandeira do País de Gales, por exemplo, combina o ponto de código base U+1F3F4 com uma sequência invisível soletrando gbwls e um terminador, U+E007F. Excluídos esses casos, o que restou foi ruído benigno de gateways de segurança, provedores de caixa postal e pesquisadores testando mensagens, o que estabeleceu uma linha de base estável na qual qualquer pico passaria a indicar abuso.

O que a telemetria mostrou

O pico veio em 9 de fevereiro de 2026. No dia anterior, a assinatura havia disparado em cerca de 21 mil mensagens; em 9 de fevereiro, em mais de 1,3 milhão — um salto de aproximadamente duas ordens de grandeza. O volume atingiu mais de 2,3 milhões de mensagens em 11 de fevereiro, com pico de volume diário em 26 de fevereiro, chegando a 2,37 milhões.

Dois traços chamam atenção nos dados divulgados pela Microsoft:

• Cadência semanal rígida. A campanha operava com força nos dias úteis e ficava praticamente silenciosa nos fins de semana, com o volume de domingo desabando para perto de zero e retornando ao patamar cheio na segunda-feira. É o comportamento típico de infraestrutura de envio em massa com agendamento.
• Declínio longo e gradual. Após a fase intensa, os números caíram cerca de 80% por dia útil até o fim de março. O uso em alto volume dessa técnica específica despencou depois de 15 de maio de 2026, com atividade residual até meados de junho e picos menores ocasionais. A medição diária foi de 9 de fevereiro a 18 de junho.

A Microsoft é explícita quanto ao alcance dessas datas: elas delimitam o uso observado da técnica, não da campanha como um todo, que começou antes sem os caracteres invisíveis e continuou depois de abandoná-los.

Não era injeção de prompt, era evasão de filtro

A surpresa apareceu na amostragem das mensagens sinalizadas: não havia nenhuma instrução escondida dirigida a um assistente de IA. Os caracteres de tag invisíveis estavam inseridos dentro de palavras-chave financeiras, partindo-as ao meio para que uma comparação literal falhasse.

O exemplo dado pela própria Microsoft é a palavra funding (financiamento), transmitida como fun mais U+E0020 mais ding, em que U+E0020 é o caractere invisível TAG SPACE. A campanha não codificava mensagem alguma no bloco de tags: usava um único caractere invisível como separador, salpicado dentro de termos de alto valor de sinal. Tecnicamente, é inserção de caractere invisível usando um ponto de código do bloco de contrabando ASCII, e não contrabando de mensagem propriamente dito.

Por que isso afeta a detecção

Para quem recebe o e-mail, e para pipelines que descartam ou normalizam esses caracteres, a palavra continua sendo funding. Para um detector que procura a cadeia literal, ou uma expressão regular que não prevê pontos de código invisíveis intercalados, a sequência de bytes deixa de conter o termo contíguo.

O alvo mais valioso, porém, não são as regras literais: são os modelos de aprendizado de máquina e processamento de linguagem natural que hoje dominam a classificação de spam e phishing. Esses classificadores dividem o texto em tokens ou subpalavras antes de analisá-lo. Um termo limpo como funding tende a virar um token familiar; com o U+E0020 no meio, o tokenizador pode passar a ver fun, um caractere inesperado e ding, ou emitir subtokens raros. Se a normalização rodar antes, porém, o caractere simplesmente some e a palavra é recuperada. O comportamento depende inteiramente de onde a normalização entra no pipeline.

O lado defensivo do mesmo fato

Há um contraponto que a Microsoft faz questão de registrar: como esse tipo de manipulação praticamente não aparece em tráfego normal, sua presença vira um sinal de alta confiança. Uma técnica pensada para fazer a mensagem parecer mais inofensiva aos modelos acaba entregando aos defensores um indicador com baixíssima taxa de falso positivo.

O que é novo e o que não é

Inserir caracteres invisíveis ou parecidos para quebrar correspondência de palavras-chave é prática antiga em spam e phishing: há anos se veem espaços de largura zero (U+200B), espaço inquebrável (U+00A0), hifens suaves e substituição por homóglifos. O que muda aqui são três pontos. A escolha do caractere, já que em vez do espaço de largura zero habitual a campanha recorreu ao bloco de tags Unicode, que saiu do esquecimento por causa da pesquisa em segurança de IA. A escala e a disciplina operacional, com volume diário na casa dos milhões. E um possível ponto cego, porque o bloco de tags é menos abusado que os caracteres de largura zero e pode não estar coberto pelas rotinas de normalização.

A infraestrutura: reputação emprestada

A campanha rodou sobre centenas de domínios descartáveis com nomes de tema financeiro, remontados a partir de um vocabulário pequeno — capital, fund, funding, loan, loc, lend, finance, business, express, growth. Em 9 de fevereiro, 148 desses domínios responderam por cerca de 96% do volume sinalizado.

Mas esses domínios eram apenas a marca que o destinatário via. O envio real foi retransmitido por infraestrutura associada à ActiveCampaign, plataforma legítima de automação de marketing por e-mail, que reescreve todos os links da mensagem para passar por seus próprios domínios de rastreamento. Cerca de 98,5% das mensagens medidas casavam com o formato de envelope da plataforma, e aproximadamente 92% do volume diário partia de um único bloco de rede /24.

Cabe aqui uma ressalva que a própria Microsoft faz: esse bloco de rede e esses domínios de rastreamento são espaço legítimo, compartilhado por todos os clientes da plataforma. Servem para delimitar a investigação, nunca como indicador de bloqueio isolado.

Procurada antes da publicação, a ActiveCampaign afirmou ter testado a técnica contra seus sistemas de moderação: mensagens com caracteres Unicode invisíveis recebem o mesmo veredito que suas equivalentes sem ofuscação, e o uso intenso do recurso é, em si, tratado como sinal suspeito. A Microsoft conectou essa atividade a uma campanha de phishing mais ampla, com tema da agência americana de pequenos negócios (SBA), já documentada anteriormente pela Fortra — anterior, portanto, à adoção dos caracteres Unicode.

Houve falha de detecção?

A pergunta é legítima e a resposta divulgada é matizada. Na estrutura do Defender para Office 365, mais de 99% das mensagens foram sinalizadas por camadas que não dependiam de identificar os caracteres de tag: reputação de remetente, de IP, de URL e de domínio, classificação de spam e phishing por aprendizado de máquina, detecção de personificação de marca e verificações de autenticação. A pilha de filtragem também consegue capturar uma imagem do conteúdo da mensagem e extrair o texto visível por OCR, o que anula esse tipo de truque.

Isso vale para um produto específico. A recomendação da Microsoft aos demais é testar o comportamento no próprio ambiente, porque as implementações variam.

Recomendações

O princípio central proposto é curto: normalize antes de comparar. Todo conteúdo que será avaliado por lógica de palavra-chave, assinatura ou expressão regular deve ter os pontos de código invisíveis removidos ou dobrados antes da comparação. Na prática:

• Remova ou normalize os caracteres do bloco de tags Unicode (U+E0000 a U+E007F) e demais pontos de código invisíveis ou de largura zero do assunto e do corpo do e-mail, antes de aplicar as assinaturas de conteúdo.
• Trate a presença de caracteres do bloco de tags como forte anomalia. Fora dos usos legítimos conhecidos, como os emojis de bandeira de subdivisão, eles são raros em correio comum.
• Procure a impressão comportamental: volume em massa vindo de domínios descartáveis de tema financeiro em rotação, ligado e desligado em ritmo semanal.
• Aplique a mesma normalização antes da ingestão por sistemas de IA. O controle que derruba essa evasão também reduz a exposição a injeção de prompt em assistentes que leem e-mail.
• Verifique onde a normalização acontece no seu pipeline. Se ela roda depois das detecções de conteúdo, o ponto cego permanece.

Em termos de classificação, o caso é mapeado nas técnicas T1566 (Phishing) e T1027 (Obfuscated Files or Information) do MITRE ATT&CK, e na classe AML.T0068 (LLM Prompt Obfuscation) do MITRE ATLAS.

A lição de fundo

O contrabando ASCII construiu sua reputação como ataque de IA: esconder instruções das pessoas mantendo-as visíveis aos modelos. O que esta campanha mostra é a mesma técnica reaproveitada para o objetivo inverso — ocultar conteúdo de phishing dos sistemas de detecção, mantendo-o legível para o alvo humano.

A conclusão prática vai além do caso específico. Técnicas de segurança raramente ficam confinadas ao domínio em que nasceram. À medida que os métodos de ataque da era da IA se tornam mais conhecidos, é razoável esperar que sejam adaptados para ameaças tradicionais como phishing e spam, e que a fronteira entre segurança de IA e segurança de e-mail continue perdendo nitidez para quem defende.

Fontes e referências

• Microsoft Security Blog — ASCII smuggling crosses over from AI prompt injection to phishing evasion
• Fortra — Attackers exploit ActiveCampaign to deliver thousands of AI-generated SBA phish
• Unicode Consortium — Tabela oficial do bloco Tags (U+E0000 a U+E007F)
• MITRE ATLAS — LLM Prompt Obfuscation, técnica AML.T0068
• MITRE ATT&CK — Obfuscated Files or Information, técnica T1027, e Phishing, técnica T1566