// CLUBIC — INTELLIGENZA ARTIFICIALE
Les hackers utilisent une technique inventée pour piéger les IA afin de contourner les filtres anti-phishing
Pendant plusieurs mois, des pirates ont attaqué des demandeurs de prêts aux États-Unis avec des courriels truffés de caractères Unicode invisibles glissés au cœur de mots clés comme « financement ». Pour un filtre antiphishing, ces mots ne correspondaient plus à ceux recherchés, en restant lisibles pour un humain. Jusqu’à 2,3 millions de messages ont été recensés en une journée.
Vous souvenez-vous du Télécran, sur lequel vous tentiez de dessiner tout en lignes et angles droits ? Certains réalisaient de purs chefs-d’œuvre. Eh bien l’ASCII, c’est la même chose, transposé tech.
Dans les deux cas, il s’agit de créer une image complexe en utilisant un système qui ne sait tracer que des lignes droites et rigides.
Et le smuggling ASCII consiste à insérer, au cœur d’un mot ou d’une phrase, des caractères Unicode invisibles. Une machine les lit sans difficulté, mais aucun humain ne les voit jamais à l’écran. Des chercheurs en sécurité de l’intelligence artificielle ont mis au point cette méthode pour cacher des instructions dans des messages destinés à des agents conversationnels comme ChatGPT.
Et ça n’a pas loupé, entre février et mai, des attaquants ont détourné ce mécanisme contre les demandeurs de prêts garantis par la Small Business Administration américaine, en relayant leurs e-mails via la plateforme légitime de marketing ActiveCampaign. Le mot « financement » était alors, pour un logiciel de filtrage, une chaîne fragmentée, tout en restant parfaitement lisible pour sa cible humaine.
Comme le rapporte The Hacker News, en février, environ 21 000 messages porteurs de ces caractères ont été détectés. Le lendemain, leur nombre dépassait les 1,3 million, avant un pic à plus de 2,3 millions un peu plus tard dans le mois. Au total, cent quarante-huit domaines financiers jetables, bâtis à partir d’un vocabulaire de 28 racines comme « advance », « boost » ou « capital » faisaient partie de cette campagne. Après trois mois à un rythme hebdomadaire soutenu, silencieux chaque week-end, elle s’est essoufflée le 15 mai.
Malgré tout, Microsoft a intercepté 99 % de ces messages avec les autres couches de protection de Defender for Office 365, fondées sur la réputation des domaines, l’authentification et une détection de spam par apprentissage automatique.
Le chercheur en sécurité informatique Johann Rehberger avait signalé un usage différent de ces caractères à Microsoft en janvier 2024. Un lien cliquable généré par l’assistant Copilot pouvait alors contenir, sous une apparence anodine, des codes d’authentification à plusieurs facteurs volés et destinés à un serveur extérieur. Microsoft a corrigé cette vulnérabilité plusieurs mois avant que le chercheur n’en publie les détails, en août 2024.
Selon l’entreprise de cybersécurité Fortra, dès septembre 2025, des milliers de faux sites de prêt affichaient des visages générés par intelligence artificielle, différents d’une version à l’autre. Pour Fortra, cette variation est le signe d’une fabrication automatisée plutôt que d'une conception humaine au cas par cas. Grâce aux fonctions d’automatisation marketing d’ActiveCampaign, les attaquants faisaient varier automatiquement la mise en page, le texte et le parcours de chaque site, à partir d'un modèle central unique. Chaque site promettait, en 48 heures, un financement de 4 à 10 millions de dollars, soit environ 3,7 à 9,2 millions d’euros. D’après Daud Jawad, ingénieur en sécurité chez Fortra, les attaquants ont exploité 45 domaines d’URL uniques à partir de seulement 12 domaines d’envoi grâce à ce dispositif.
Microsoft recommande désormais de traiter la présence de ces caractères comme une anomalie à elle seule, rare dans un courrier ordinaire en dehors de ces drapeaux régionaux devenus obsolètes.
Certains filtres repèrent des arnaques en comparant des chaînes de caractères (ex. détecter exactement le mot « financement »). En insérant au milieu du mot des caractères Unicode non affichés, le texte reste identique pour l’œil humain, mais devi