Microsoft cảnh báo một chiến dịch phishing quy mô lớn đang lợi dụng các ký tự Unicode vô hình để chia nhỏ những từ khóa tài chính trong email, qua đó làm giảm khả năng bị bộ lọc thư điện tử nhận diện. Theo The Hacker News, chiến dịch này có thể phát tán tới 2,37 triệu email trong một ngày làm việc, cho thấy mức độ tự động hóa và sức ép vận hành rất lớn đối với hệ thống phòng thủ email doanh nghiệp.
Điểm đáng chú ý là kỹ thuật không dựa vào mã độc phức tạp ngay từ đầu. Thay vào đó, kẻ tấn công can thiệp vào cách nội dung được máy quét phân tích. Với người đọc, thông điệp vẫn có thể trông như một lời mời tài chính, tài trợ hoặc thanh toán bình thường. Với bộ lọc, các từ nhạy cảm đã bị chèn ký tự ẩn, khiến quá trình phân tách và so khớp mẫu trở nên khó khăn hơn.
Kỹ thuật Unicode vô hình hoạt động ra sao
Unicode có nhiều nhóm ký tự phục vụ hiển thị, gắn nhãn hoặc điều khiển văn bản. Một số ký tự không hiện ra trên màn hình, nhưng vẫn tồn tại trong chuỗi nội dung. Microsoft cho biết kẻ tấn công dùng các ký tự dạng tag vô hình để tách những từ mồi như nội dung liên quan đến tài chính. Khi người dùng mở email, mắt người vẫn có thể đọc được ý nghĩa tổng thể, trong khi bộ lọc dựa trên phân tích chuỗi có thể không nhận ra từ khóa ban đầu.
Cách làm này nguy hiểm vì nó đánh vào khoảng cách giữa cách con người nhìn nội dung và cách hệ thống bảo mật xử lý văn bản. Nhiều bộ lọc email vẫn kết hợp danh sách từ khóa, mô hình ngữ nghĩa, phân tích URL, danh tiếng hạ tầng và hành vi gửi thư. Nếu một lớp phân tích bị làm nhiễu, các lớp còn lại phải đủ mạnh để phát hiện dấu hiệu bất thường.
Vì sao chiến dịch này đáng chú ý
Thứ nhất, quy mô gửi thư rất lớn khiến doanh nghiệp khó dựa vào xử lý thủ công. Khi hàng triệu email được phát tán trong thời gian ngắn, chỉ một tỷ lệ nhỏ vượt qua bộ lọc cũng có thể tạo ra số lượng nạn nhân đáng kể.
Thứ hai, kỹ thuật này có chi phí thấp và dễ tái sử dụng. Kẻ tấn công không cần phát minh một lỗ hổng mới trong phần mềm email; chúng chỉ cần điều chỉnh nội dung để né một số giả định trong cơ chế quét. Đây là dạng thích nghi thường thấy của phishing hiện đại: thay đổi bề mặt hiển thị, hạ tầng gửi, tên miền hoặc cấu trúc đường dẫn để kéo dài thời gian tồn tại của chiến dịch.
Thứ ba, chủ đề tài chính vẫn là mồi nhử hiệu quả. Những thông điệp liên quan đến khoản tài trợ, hóa đơn, thanh toán, ngân sách hoặc yêu cầu xác nhận thường tạo áp lực phản hồi nhanh. Khi người dùng đang bận, một email có vẻ hợp lệ có thể dẫn đến việc bấm liên kết, nhập thông tin đăng nhập hoặc tải tệp không an toàn.
Hàm ý cho doanh nghiệp và người dùng
Với doanh nghiệp, sự việc cho thấy phòng thủ email cần chuẩn hóa nội dung trước khi phân tích. Các hệ thống bảo mật nên có bước loại bỏ hoặc diễn giải an toàn những ký tự điều khiển và ký tự vô hình, sau đó mới so khớp từ khóa, đánh giá ngữ nghĩa và kiểm tra liên kết. Việc ghi log nội dung đã chuẩn hóa cũng giúp đội SOC điều tra các chiến dịch né lọc tốt hơn.
Các tổ chức cũng nên kết hợp bảo vệ email với xác thực đa yếu tố, kiểm soát đăng nhập theo rủi ro và huấn luyện nhận diện phishing. Một email vượt qua bộ lọc không nên tự động trở thành sự cố nghiêm trọng nếu tài khoản được bảo vệ bằng MFA chống phishing, trình duyệt chặn trang lừa đảo và người dùng biết kiểm tra nguồn gửi trước khi hành động.
Với người dùng cá nhân, dấu hiệu cần cảnh giác là email thúc giục xử lý tiền bạc, tài trợ, hóa đơn hoặc thay đổi tài khoản trong thời gian gấp. Nếu nội dung có liên kết đăng nhập, tệp đính kèm bất ngờ hoặc yêu cầu xác nhận thông tin nhạy cảm, nên truy cập dịch vụ bằng địa chỉ chính thức thay vì bấm trực tiếp từ email.
Bài học phòng thủ
Phishing không chỉ là vấn đề nội dung giả mạo, mà còn là cuộc chạy đua về cách nội dung được mã hóa, hiển thị và phân tích. Ký tự Unicode vô hình là ví dụ rõ ràng: cùng một thông điệp có thể mang hai hình dạng khác nhau, một dành cho mắt người và một dành cho máy quét.
Để giảm rủi ro, doanh nghiệp cần xem email là một chuỗi tín hiệu chứ không phải một điểm kiểm tra đơn lẻ. Chuẩn hóa văn bản, phân tích hành vi gửi, kiểm tra URL theo thời gian thực, cô lập liên kết, MFA chống phishing và phản hồi sự cố nhanh sẽ hiệu quả hơn cách chỉ dựa vào một danh sách từ khóa cố định.
Sự kiện này cũng nhắc lại một nguyên tắc quen thuộc: kẻ tấn công thường không cần phá vỡ toàn bộ hệ thống nếu có thể làm sai lệch một bước xử lý nhỏ. Vì vậy, phòng thủ hiện đại phải quan tâm cả những chi tiết tưởng như rất thấp tầng, từ ký tự ẩn trong email đến cách người dùng được dẫn dắt sau một cú nhấp chuột.
VNCyberS tổng hợp từ The Hacker News và Microsoft Security Research
Tiếng Việt
English