Il phishing con caratteri Unicode invisibili usa segni che il lettore non vede per nascondere o alterare il testo analizzato dai sistemi di sicurezza. La campagna descritta nel materiale di partenza adotta una tecnica chiamata ASCII smuggling per inserire questi caratteri nelle esche inviate tramite email e tentare di superare i filtri. Il messaggio può apparire normale sullo schermo, mentre la sua rappresentazione interna contiene elementi aggiuntivi. Per difendersi servono controlli tecnici, procedure chiare e una verifica del contesto che non dipenda soltanto dalle parole visibili.
Phishing con caratteri Unicode invisibili: come funziona
Unicode permette ai sistemi informatici di rappresentare scritture, simboli e caratteri usati in molte lingue. Alcuni elementi hanno funzioni di formattazione o controllo e possono non produrre un segno percepibile. Questa caratteristica è legittima, ma può diventare utile a chi vuole far divergere ciò che una persona vede da ciò che un filtro elabora.
La tecnica indicata come ASCII smuggling sfrutta proprio questa differenza. L’esca mantiene un aspetto comprensibile, ma incorpora caratteri invisibili per confondere controlli basati su parole, frasi o schemi testuali. Non significa che ogni protezione email venga automaticamente superata. Significa invece che un controllo troppo dipendente dal confronto letterale può perdere informazioni importanti.
Il rischio non nasce da Unicode in sé. Nasce dall’uso intenzionale di una codifica complessa per nascondere il contenuto e guidare la vittima verso un’azione: rispondere, aprire un allegato, inserire credenziali o seguire istruzioni non verificate. Per questo la difesa deve considerare mittente, struttura del messaggio, richiesta e comportamento complessivo.
Perché il testo visibile non basta per valutare un’email
Le persone leggono il risultato renderizzato dal programma di posta. Il filtro, invece, può lavorare sulla sorgente, su una versione normalizzata oppure su parti estratte del messaggio. Se questi livelli non coincidono, una frase apparentemente innocua può essere classificata male o una sequenza pericolosa può non corrispondere alle regole previste.
Un utente non può riconoscere a occhio ogni carattere invisibile. Chiedergli di farlo sarebbe inefficace. Può però riconoscere il comportamento tipico dell’esca: urgenza immotivata, richiesta insolita, modifica improvvisa delle procedure, pressione per evitare un controllo o invito a fornire informazioni che il mittente dovrebbe già conoscere.
La verifica più utile riguarda quindi il contesto. Una richiesta di pagamento, accesso o recupero account va confermata tramite un canale già noto. Non bisogna usare recapiti o pulsanti presenti nello stesso messaggio sospetto, perché potrebbero far parte della costruzione dell’attacco.
I segnali pratici da controllare prima di agire
Il phishing con caratteri Unicode invisibili può sembrare pulito dal punto di vista grafico. Gli indizi più affidabili restano spesso fuori dalla frase centrale. Controlliamo con calma chi invia il messaggio, quale azione chiede e perché dovrebbe essere eseguita proprio in quel momento.
Segnali che meritano una verifica:
- il tono cambia rispetto alle comunicazioni abituali;
- la richiesta introduce una scadenza molto breve;
- il messaggio domanda credenziali, codici o dati riservati;
- un collega sembra saltare la procedura normale;
- il testo copiato si comporta in modo strano in un editor semplice;
- la risposta proposta conduce a un indirizzo diverso da quello atteso;
- il contenuto evita dettagli che il mittente reale conoscerebbe.
Nessun singolo segnale prova un attacco. La combinazione di più anomalie, però, giustifica la sospensione dell’azione e l’invio al canale di sicurezza. Fermarsi per una verifica costa meno di recuperare un account compromesso.
Controllare senza interagire con il contenuto sospetto
La prima regola operativa consiste nel non eseguire l’azione richiesta. Non rispondiamo, non apriamo allegati e non copiamo comandi dal messaggio. Se il servizio di posta offre una funzione di segnalazione, usiamola per conservare gli elementi necessari all’analisi senza inoltrare manualmente contenuti potenzialmente pericolosi.
Verificare il mittente tramite un canale noto
Se il messaggio sembra provenire da un collega o da un fornitore, contattiamolo usando un numero, una chat o un indirizzo già presenti nella rubrica aziendale. La domanda deve essere concreta: quale operazione è stata richiesta, per quale pratica e con quale autorizzazione. Una conferma generica può lasciare spazio a equivoci.
Conservare il messaggio originale
Per l’analisi tecnica serve l’originale, non una fotografia dello schermo o un testo copiato. La copia può perdere proprio i caratteri invisibili che interessano. La procedura interna dovrebbe indicare chi può esportare il messaggio e dove conservarlo, limitando l’accesso perché potrebbe contenere dati personali.
Non trasformare la verifica in un nuovo rischio
Aprire il contenuto in strumenti casuali o servizi pubblici può esporre informazioni riservate. Usiamo soltanto ambienti approvati, preferibilmente isolati, e rimuoviamo i dati non necessari. Se non esiste una procedura interna, coinvolgiamo chi gestisce posta e sicurezza invece di improvvisare.
Normalizzazione Unicode e controlli tecnici
Un controllo robusto non dovrebbe fidarsi di una sola rappresentazione del testo. La normalizzazione Unicode serve a rendere confrontabili sequenze che possono essere codificate in modi differenti. Nel caso di caratteri invisibili, il sistema può anche rilevare elementi di controllo inattesi e assegnare loro un peso nell’analisi.
Questo approccio richiede cautela. Eliminare indiscriminatamente ogni carattere non visibile può danneggiare messaggi legittimi, lingue diverse o formattazioni necessarie. La soluzione migliore combina normalizzazione, rilevamento delle anomalie e valutazione di altri segnali. Il filtro può chiedersi, per esempio, se il testo nascosto compare vicino a una richiesta di accesso o se il mittente presenta altre incoerenze.
Gli amministratori dovrebbero verificare come il proprio sistema tratta:
- testo semplice e contenuto formattato;
- parti alternative dello stesso messaggio;
- caratteri di controllo e sequenze non stampabili;
- testo estratto da allegati;
- differenze tra anteprima e messaggio aperto.
Il test va svolto in un ambiente controllato con campioni innocui. Non occorre riprodurre un’esca reale o inserire credenziali. L’obiettivo è osservare se gli elementi anomali vengono registrati e resi disponibili agli analisti.
Difesa a più livelli per posta, browser e identità
Un filtro email resta importante, ma non può essere l’unica barriera. La difesa a più livelli considera il messaggio, il dispositivo, il browser, l’identità e la capacità di risposta. Se una tecnica supera il primo controllo, un accesso protetto e una procedura di segnalazione possono ancora impedire il danno.
Per gli account sensibili conviene usare autenticazione resistente al phishing quando disponibile, limitare i privilegi e controllare le nuove sessioni. Queste misure non rendono innocuo il messaggio, ma riducono le conseguenze di una password sottratta o di un tentativo di accesso anomalo.
Anche il browser deve restare aggiornato. Le protezioni di navigazione e il sistema operativo devono ricevere gli aggiornamenti previsti. Disattivare avvisi per rendere più rapido il lavoro elimina segnali utili proprio quando l’esca raggiunge l’utente.
Cosa devono fare amministratori e piccoli uffici
Un’organizzazione non deve chiedere agli utenti di diventare esperti di codifica. Deve fornire un pulsante o un recapito chiaro per la segnalazione e garantire una risposta rapida. Se chi segnala non riceve riscontro, tenderà a ignorare i messaggi successivi oppure a gestirli da solo.
La formazione dovrebbe usare scenari realistici: falsa richiesta di condivisione, cambio di coordinate, recupero account o documento urgente. Il punto non è memorizzare una lista di trucchi, ma applicare una regola stabile: le operazioni sensibili richiedono una conferma indipendente.
Sul piano tecnico, il team può misurare messaggi segnalati, falsi positivi, tempo di analisi e azioni correttive. Questi dati aiutano a capire se una regola troppo severa blocca la posta legittima oppure se una nuova tecnica passa inosservata. Le metriche devono servire a migliorare il processo, non a colpevolizzare chi ha cliccato.
Cosa fare dopo un’interazione sospetta
Se una persona ha inserito credenziali, aperto un allegato o eseguito un comando, deve segnalarlo subito. Nascondere l’errore fa guadagnare tempo all’attaccante. La comunicazione iniziale dovrebbe includere orario, account, dispositivo e azione svolta, senza cancellare il messaggio originale.
Il team responsabile valuterà cambio delle credenziali, revoca delle sessioni, controllo del dispositivo e verifica di eventuali accessi anomali. Non tutte le azioni sono necessarie in ogni caso; dipendono da ciò che è accaduto. Per questo non conviene applicare rimedi casuali o formattare il computer senza una diagnosi.
Se l’email ha raggiunto più persone, bisogna cercare messaggi simili usando indicatori affidabili e non soltanto la frase visibile. I caratteri invisibili possono rendere inefficace una ricerca letterale. La conservazione dell’originale permette di aggiornare regole e comprendere la variante osservata.
Errori da evitare nella gestione del rischio
Il primo errore è pensare che un testo ben scritto sia automaticamente sicuro. Il secondo è fidarsi di un messaggio soltanto perché ha superato il filtro. Anche cercare manualmente caratteri invisibili in ogni email sposta sull’utente un compito che richiede strumenti adeguati.
Evitiamo inoltre di:
- inoltrare l’esca a colleghi per chiedere un parere;
- copiare contenuti sospetti in servizi pubblici;
- bloccare tutti i caratteri non ASCII senza valutare le lingue usate;
- cancellare il messaggio prima che l’analisi sia completata;
- accusare il mittente apparente prima della verifica;
- considerare la formazione un sostituto dei controlli tecnici.
La risposta efficace mantiene il messaggio, limita l’esposizione e trasforma l’episodio in una regola migliore senza interrompere inutilmente la posta legittima.
Una procedura semplice da adottare subito
Il phishing con caratteri Unicode invisibili dimostra perché la sicurezza non può dipendere esclusivamente da ciò che appare sullo schermo. Gli utenti devono fermare le richieste insolite e verificarle su un canale noto; gli amministratori devono conservare il messaggio originale, analizzare le diverse rappresentazioni del testo e combinare i segnali.
Una procedura pratica usa quattro verbi: fermare, verificare, segnalare e contenere. Fermiamo l’azione richiesta, verifichiamo l’identità fuori dall’email, segnaliamo l’originale e conteniamo l’eventuale compromissione. Questo metodo resta utile anche quando cambiano le tecniche, perché protegge il processo decisionale oltre al singolo filtro.
Se vuoi approfondire questi temi e trasformare la sicurezza dei dati in una strategia concreta, nel mio libro “Backup e protezione dei dati” trovi un percorso completo che parte dai concetti fondamentali e arriva alla pratica: backup locali e remoti, NAS, cloud, regola 3-2-1-1-0, ransomware, cifratura, versioning, Disaster Recovery e procedure di ripristino. Una parte del volume è inoltre dedicata all’utilizzo di strumenti come Cobian Reflector, Acronis True Image, Uranium Backup e rsync, con esempi applicabili su Windows, Linux e macOS.
L’obiettivo è semplice: non limitarsi ad avere una copia dei propri file, ma costruire un sistema che permetta davvero di recuperare dati e tornare operativi quando qualcosa va storto. Il libro è disponibile su Amazon ed è leggibile anche tramite Prime Reading.
