見える本文は普通でもすり抜ける、不可視Unicodeのフィッシング

Microsoftは2026年9月3日、画面上では普通に読める金融関連メールに不可視のUnicodeタグ文字を挿入し、キーワード検査を回避しようとする大規模フィッシングの観測結果を公表した。Microsoft Security Researchの調査 では、U+E0000〜U+E007FのTagsブロック、特にU+E0020が金融用語の途中に使われ、Microsoft Defender for Office 365の探索用シグネチャへの一致が2026年2月9日に急増した。

翌9月4日の SC Mediaの検証記事 も、2月26日に1日237万件へ達したこと、平日に増えて週末に急減する周期、正規のメールマーケティング基盤ActiveCampaignが悪用されたことを確認している。ただし237万件は受信箱への到達数や被害者数ではなく、Microsoftの探索用シグネチャに一致したメッセージ数である。

見える単語と検査対象の文字列が食い違う

今回の手口は、AIに秘密の命令文を読ませる完全な「ASCII smuggling」とは少し異なる。調査されたメールでは、金融誘導語の「funding」が、原文では「fun」、不可視のTAG SPACE、「ding」に分割されていた。人の画面には一続きの単語として表示されても、連続文字列を探す検査には同じ語として現れない。

この違いは単純なキーワード照合や正規表現だけでなく、機械学習型フィルターのトークン化にも影響し得る。「funding」が既知の一語ではなく、二つの断片と未知の文字として処理されれば、分類結果が変わる可能性がある。一方、検査前にタグ文字を除去する処理や、メールの表示結果をOCRで読み取る仕組みなら元の単語を復元できるため、あらゆるメール防御を突破する万能な手法ではない。

新しい点は不可視文字による難読化そのものではない。ゼロ幅スペースや改行しない空白で単語を分断する手口は以前からあり、今回はAIへのプロンプト注入で注目されたTagsブロックが、従来型フィッシングの検査回避へ転用された点にある。

237万件は被害者数ではなく検知シグネチャへの一致数

観測された高水準の活動は約3カ月続き、5月15日以降に急減した。日曜日にはほぼ止まり、翌営業日に戻る周期は、予約された大量配信基盤の利用と整合する。ただし、測定期間が示すのは不可視タグ文字を使った局面であり、より広い金融フィッシング活動の開始日や終了日ではない。

メールはビジネスローン、融資枠、事業資金を装い、金融用語を組み合わせた多数の送信者ドメインから配信されていた。公表資料からは、認証情報を入力した人数、金銭被害、攻撃者の身元、日本の受信者が占める割合は分からない。観測量の大きさは手口の拡散規模を示すが、実害の規模とは分けて読む必要がある。

タグ文字の一律遮断は旗絵文字を誤検知する

Tagsブロックの文字が一つでも含まれれば悪性と判定するルールには、明確な例外がある。Unicode Consortiumの説明 によると、タグ文字は地域区分などの旗絵文字を構成する正規の列でも使われ、特定の基底文字から始まりCANCEL TAGで終わる。Microsoftの初期シグネチャも、イングランド、スコットランド、ウェールズの旗を含む正常なメールに反応した。

既知の旗の並びを除外した後にも、セキュリティ製品が転送した検体、メール事業者の処理結果、AIやセキュリティ研究者の試験メールが残り得る。反対にタグ文字を無条件で捨てれば、金融語の途中に単独の区切りを入れる今回の異常を検知材料として利用できない。

そのため、本文を表示に近い形へ正規化したコピーと、元のコードポイントを保持したコピーの双方を評価する設計が適している。正規化後の本文では分断された誘導語を復元し、原文側ではタグ文字の位置、並び、頻度を確認する。正規の旗を構成する完全な列と、通常の単語内に孤立して現れる文字を同じ扱いにしないことが誤検知を抑える。

正規の送信基盤も単独の遮断条件にはならない

今回の活動では、正規のメールマーケティングサービスに関連する共有インフラとリンク追跡機能が使われた。確立した送信評価やメール認証を持つ基盤に紛れれば、配信元の評判だけに依存する検査は難しくなる。

しかし、共有サービスのIPアドレス、エンベロープ送信者の形式、追跡ドメインのいずれも、それだけで悪性を示すものではない。同じ基盤には正規利用者がいるため、一律に遮断すれば通常のニュースレターや業務メールも止まる。送信基盤は、不可視文字、金融テーマの使い捨てドメイン、配信周期と組み合わせる補強材料にとどめる必要がある。

Microsoft Defender for Office 365では、観測メッセージの99％超がタグ文字の直接検知に依存しない別の防御層でもフラグ付けされた。送信者・IP・URL・ドメインの評判、認証検査、迷惑メール分類、ブランド詐称検知などが重なった結果であり、一部の文字列検査を回避できることと、多層防御全体を突破することは同義ではない。

検知は文字、文脈、配信挙動を重ねて判断する

今回の観測から得られる確認項目は、一つの強い遮断指標ではなく、複数の特徴を同じメールと配信クラスターの中で照合する形になる。

• 原文と正規化後の本文：件名と本文を変換前後で比較し、表示されないタグ文字によって金融語やブランド名が分断されていないかを見る。
• 正規のタグ列：地域旗を構成する完全な絵文字列と、通常の単語内に孤立して現れるタグ文字を区別する。
• 誘導の文脈：ローン、融資枠、事業資金などの訴求と、短期間で交代する金融テーマの送信者ドメインを照合する。
• 配信の挙動：平日だけ増える大量配信、同じエンベロープ形式の反復、共有基盤の追跡URLを補助的に評価する。
• 独立した防御層：送信者評価、認証、URL解析、ブランド詐称検知、OCRで得た可視テキストを併用する。

確認されたのは、AIセキュリティで知られた不可視タグ文字が、金融フィッシングの単語分断へ転用され、一時は探索用シグネチャに数百万件単位で一致したことだ。この文字を大量に使った局面は5月中旬以降に縮小したが、基盤を共有するより広い活動は手口を変えれば単一のシグネチャから外れる。被害規模や地域別内訳は未公表であり、今後の焦点は各メール製品が正規化、トークン化、OCR、送信基盤の評価をどの順序で組み合わせるかにある。