Phishing menyembunyikan kata dengan Unicode—filter email bisa terkecoh

Pada 3 September 2026, Microsoft Security Research memublikasikan temuan tentang kampanye phishing bervolume tinggi dalam telemetri Microsoft Defender for Office 365: pelaku menyisipkan karakter Unicode tak terlihat ke dalam kata pemancing bertema keuangan, termasuk mengubah “funding” menjadi “fun⟨U+E0020⟩ding”. Tanda kurung pada contoh itu merupakan notasi diagnostik; karakter TAG SPACE di dalam pesan tidak terlihat oleh penerima.

Temuan tersebut menunjukkan bahwa teknik yang dikenal dari riset prompt injection telah dipakai untuk pengelakan phishing biasa. Kata masih tampak utuh di layar, tetapi string yang diterima filter berisi titik kode tambahan sehingga pencocokan literal, tokenisasi, pencarian, atau pemrosesan oleh sistem AI dapat memberikan hasil berbeda.

Kata yang terlihat utuh sebenarnya sudah terpisah

Teknik ini menggunakan karakter dari blok Unicode Tags, yang umumnya tidak dirender oleh font dan antarmuka biasa tetapi tetap tersimpan dalam teks. Bagi manusia, sisipan itu tidak mengubah kata yang terbaca; bagi perangkat lunak, susunan karakter sebelum dan sesudah sisipan bukan lagi rangkaian yang sama.

Dalam contoh aman pada tingkat kode, tampilan penerima adalah “funding”, sedangkan representasi diagnostiknya adalah “fun⟨TAG SPACE⟩ding”. Aturan yang hanya mencari string bersebelahan “funding” dapat gagal karena mesin menerima tiga bagian: “fun”, satu karakter tag, dan “ding”.

Kampanye yang diamati tidak menyandikan perintah lengkap bagi model AI. Pelaku memakai satu karakter tak terlihat sebagai pemisah di dalam kata bernilai sinyal tinggi, sehingga pola ini lebih tepat dipahami sebagai penyisipan karakter dari rentang ASCII smuggling, bukan penyelundupan pesan tersembunyi secara utuh.

Mengapa hasil filter dapat berbeda

Dampaknya ditentukan oleh urutan pemrosesan. Jika karakter tak terlihat dibuang atau ditangani sebelum aturan isi dan pengklasifikasi dijalankan, kata biasa dapat dipulihkan; jika deteksi bekerja lebih dahulu pada string mentah, sinyal kata kunci dapat terpecah.

Tokenisasi menambah kemungkinan perbedaan. Istilah yang lazim dapat berubah menjadi beberapa fragmen atau token langka, sementara antarmuka pengguna tetap menampilkan kata yang normal. Namun, ini bukan bukti bahwa seluruh perlindungan email gagal: reputasi pengirim dan domain, autentikasi, URL, pola pengiriman, analisis visual, serta sinyal perilaku masih dapat menandai pesan yang sama.

Karakter tag juga tidak boleh otomatis diperlakukan sebagai bukti phishing tanpa konteks. Sebagian rangkaian mempunyai penggunaan Unicode yang sah, sehingga aturan yang hanya menolak setiap kemunculan berisiko menghasilkan alarm keliru. Pemeriksaan perlu membedakan urutan yang dikenal dari karakter yang disisipkan secara tidak lazim di tengah kosakata email.

Risikonya meluas ke kotak masuk berbasis AI

Perpindahan teknik ini dari riset prompt injection ke phishing menyoroti kesenjangan antara teks yang dilihat manusia dan teks yang diproses mesin. Email dapat melewati ekstraksi HTML atau MIME, gateway, indeks arsip, e-discovery, peringkas, dan agen AI; setiap lapisan dapat menerapkan aturan normalisasi yang berbeda.

Analisis Security.io pada 4 September 2026 menempatkan U+E0000–U+E007F sebagai rentang yang perlu diperiksa dan menekankan pengujian representasi teks pada gateway, arsip, e-discovery, serta alur kotak masuk yang terhubung dengan AI. Perbedaan keluaran antar-lapisan merupakan masalah kontrol meskipun pesan akhirnya diblokir.

Ada dua pengujian yang tidak boleh dicampur. Pengujian pengelakan phishing menilai apakah sisipan karakter memecah sinyal bagi filter, sedangkan pengujian prompt injection menilai apakah teks tersembunyi diteruskan dan ditafsirkan sebagai instruksi oleh sistem AI. Belum ada bukti publik bahwa pesan dalam kampanye ini membuat agen kotak masuk menjalankan instruksi tersembunyi.

Normalisasi perlu dilakukan tanpa menghapus bukti

Tim keamanan memerlukan dua representasi pesan: bentuk asli untuk investigasi dan kepatuhan, serta bentuk kerja yang telah dinormalisasi untuk deteksi. Mengganti pesan asli dengan salinan bersih akan menyulitkan rekonstruksi, sedangkan hanya memeriksa bentuk asli dapat mempertahankan ketidaksesuaian yang dimanfaatkan pelaku.

1. Simpan header, struktur MIME, HTML, teks biasa, dan lampiran sebagaimana diterima.
2. Ekstrak teks dan enumerasi titik kodenya, lalu tandai Unicode Tags serta karakter nol-lebar atau tidak merender lainnya.
3. Buat salinan deteksi dengan menghapus atau melipat karakter yang tidak diperlukan, sambil mengecualikan rangkaian sah yang sudah diuji.
4. Jalankan aturan kata, regex, klasifikasi phishing, pencarian, dan pemeriksaan prompt injection terhadap salinan tersebut.
5. Bandingkan keputusan atas pesan mentah, tampilan penerima, dan teks bersih; masukkan perbedaan hasil ke telemetri serta antrean investigasi.

Kumpulan uji sebaiknya dijalankan pada gateway sebelum dan sesudah transformasi HTML atau MIME, indeks arsip, e-discovery, dan setiap layanan yang memasukkan isi email ke model atau agen. Pemeriksaan selesai hanya jika tim dapat menunjukkan representasi mana yang diterima setiap lapisan dan menjelaskan alasan keputusan yang berbeda.

Fase volume tinggi telah turun, tekniknya tetap relevan

Laporan BleepingComputer pada 6 September 2026 mencatat lonjakan tanda tangan perburuan sejak 9 Februari, puncak hingga 2,37 juta pesan per hari pada akhir Februari, penurunan tajam fase volume tinggi setelah 15 Mei, dan lebih dari 99% pesan yang diamati tetap tertangkap oleh lapisan Microsoft Defender lain. Angka terakhir hanya menggambarkan telemetri serta perlindungan Microsoft, bukan tingkat keberhasilan seluruh gateway email.

Periode tersebut membatasi penggunaan intensif teknik Unicode dalam telemetri, bukan umur keseluruhan operasi phishing. Kampanye yang lebih luas telah berjalan sebelum penyisipan karakter itu diamati dan berlanjut setelah volume pola spesifiknya turun.

Yang sudah dipastikan adalah pemakaian Unicode Tags untuk memecah kata pemancing bertema pendanaan, pinjaman, dan fasilitas kredit. Belum tersedia data lintas penyedia mengenai tingkat lolos sebenarnya, identitas pelaku, atau tindakan agen AI akibat pesan yang sama; perkembangan berikutnya bergantung pada apakah pola ini kembali muncul dalam volume besar atau digabungkan dengan instruksi yang memang menargetkan sistem AI.

Baca juga:

• Jangan mulai dari alat—pilih satu alur kerja AI yang bisa diperiksa
• Admin plugin OpenAI bisa mengubah akses tim lewat percakapan
• Memori Claude kini menyatu dengan Cowork—dan aktif secara bawaan