Microsoftが不可視Unicode文字のフィッシング悪用を報告

見た目には普通の単語でも、メール処理側では分断された文字列として扱われることがあります。Microsoft Security Researchは2026年9月3日、不可視のUnicodeタグ文字を金融テーマのフィッシングに組み込み、単純なキーワード検知をかわそうとする大規模な動きを報告しました。

単語に紛れ込む見えない1文字

使われたのは、U+E0000からU+E007FまでのUnicodeタグ文字です。攻撃者は指示や文章全体を隠したのではなく、「funding」など検知の手掛かりになりやすい単語の途中へ、U+E0020のような不可視文字を1文字だけ挿入していました。受信者には元の単語と同じように見える一方、文字を正規化しないキーワード照合やトークナイザーでは、途中で切れた文字列として処理される可能性があります。

タグ文字をすべて遮断するだけでは、イングランド、スコットランド、ウェールズの地域旗を表す正規の絵文字列まで拾うことがあります。Microsoftはこうした例を除外するよう検出条件を調整しました。

2月に急増した平日中心の攻撃

調整後のシグネチャで確認されたメッセージは、2026年2月8日の約2万1000通から翌9日には130万通超へ増加しました。活動は約150の金融関連送信者ドメインに集中し、平日は100万通から237万通の範囲で推移。2月26日にピークを迎え、週末にはほぼゼロまで減る傾向が見られました。

この手法を大量に使う動きは2月9日以降およそ3カ月続き、5月15日を境に急減しました。その後も6月中旬まで小規模な活動が残っています。ただし、この期間は不可視タグ文字を使った手法についての観測であり、より広いフィッシング活動全体の継続期間を示すものではありません。

文字の正規化と多層防御

Microsoftによると、対象メッセージの99％超はタグ文字の直接検出に頼らず、送信者、IPアドレス、URL、ドメインの評価、スパム・フィッシング分類、なりすまし検出、認証確認などの多層保護によって判定されました。Defenderのカバー範囲は、ライセンスや構成、利用できるテレメトリによって異なります。

メール防御側には、キーワード、署名、正規表現、AI処理へ渡す前にU+E0000〜U+E007Fなどの不可視文字を除去または正規化することが推奨されています。受信者は、突然届いた金融案内や対応を急かす文面にすぐ応じず、初めて見る送信者、連絡頻度の低い送信者、不明な送信者、外部メールの表示があるメッセージを慎重に確認してください。