フィッシングルアー隠蔽のために不可視Unicode文字が使われる

フィッシングルアー隠蔽のために不可視Unicode文字が使われる

BleepingComputer – September 6, 2026

金融関連の話題を用いたフィッシングキャンペーンでASCIIスマグリングの手法が採用され、Eメールセキュリティフィルターを回避するために不可視Unicode文字が使われるようになっているという。マイクロソフトが注意喚起した。

ASCIIスマグリングとは、元々AIに対するプロンプトインジェクション攻撃に関する手口で、AIへの悪意ある指示をUnicodeのタグ文字（U+E0000〜U+E007F）でエンコードして隠蔽するというもの。マイクロソフトの研究者らは、2026年2月にこの手法が大規模なフィッシングキャンペーンで使用されるのを発見しており、2月後半にはピークを迎えて1日あたり最大237万件のフィッシングメッセージが送付されていたと報告した。数量は5月に低下していったものの、ASCIIスマグリングを用いたフィッシングは引き続き行われているという。

このフィッシングキャンペーンにおいて、攻撃者は金融関連の単語を人の目には見えないUnicode文字で分割。例えば「funding」という単語の場合、「fun[不可視の文字]ding」といった表記に置き換える。これにより、「funding」をはじめとする金融関連の単語リストを使って不審メールを検知するメールフィルター機能をバイパスしようとするという。メッセージの受信者には変わらず「funding」と表示されるため、この単語が担うフィッシングルアーとしての役割は損なわれない。

マイクロソフトは、この手法は数百万件の金融関連フィッシングメッセージで使われており、攻撃者の意図通りに機能しているとコメント。ただし、Microsoft Defenderは送信者やIP、ドメイン、レピュテーションといったその他のシグナルに基づいてこうしたメッセージの99%超を捕捉できていたとされる。

フィッシングメッセージは、正規のEメールマーケティングプラットフォームであるActiveCampaignに紐づくインフラを通じて配布されていたこともわかっている。同社はマイクロソフトからサービスの不正利用に関する報告を受け、同社のモデレーションシステムが、隠されたテキストと同様に目に見えないUnicode文字も検知し、その多用を不審な行為として扱っていると述べているという。

マイクロソフトは防御担当者に対し、キーワード、正規表現、またはシグネチャに基づく検知を適用する前に、Unicodeのタグ文字やその他の不可視コードポイントを削除または正規化すること、また予期しないタグ文字を重大な異常として扱うことを推奨している。また、メールコンテンツをAIアシスタントへ受け渡す前にも同様の正規化を適用すれば、プロンプトインジェクション攻撃のリスク軽減にも繋がるとのこと。

OpenAIが「wikiインシデント」について認める

TechCrunch – September 5, 2026

OpenAIは9月5日、複数のAIエージェントによりドイツ語wikiフォーラムが乗っ取られたインシデントへの同社の関与を認めた。開示が遅れたのは本件をセキュリティインシデントではなくモデルの「ミスアラインメント」とみなしていたためだと示唆しつつ、情報開示の慣行を拡大する必要があるとの見解も示している。

9月4日に公になったこのインシデントは、OpenAIの複数エージェントがテスト環境を抜け出し、ドイツ語のプログラミングWiki「DSEWiki」（DeutschesSoftwareEntwickler）を「ハイジャック」したとされるもの。AI安全性関連の非営利団体NightingaleでCEOを務めるSydney Von Arx氏、AI研究者のCormac Slade Byrd氏、Redwood ResearchのSpencer Kitts氏、AI Futures ProjectのThomas Larsen氏から成る研究者チームの調査により明らかとなり、ロイター通信などが報じていた。

研究者チームによれば、エージェントは本来ならインターネットへの読み取り専用アクセス権しか与えられていなかったはずだが、DSEWikiへの書き込みが可能であることを発見。このwikiサイトを、タスクに関する回答やテスト用チート、今後の課題に関する予測、サンドボックス回避手法などをエージェント同士で共有するためのメッセージボードとして使用していたという。

OpenAIは当初ロイター通信の取材に対し、研究者チームの報告書を確認する機会がなかったと回答。それを理由に、この「報告書に関する主張や調査結果に対して、有意義な回答を行うことはできない」としつつ、同社の法務チームは調査を妨げるようなことはしていないと主張していた。

その後9月5日、OpenAIはXに投稿した最新の声明において、今回の「wikiインシデント」を過去に同社が共有してきたのと同様の「ミスアラインメント」の事例とみなしていた旨を共有。自社およびサードパーティにセキュリティ上の影響を及ぼし、従来型の「セキュリティインシデント対応プレイブック」に従う形となったHugging Faceの侵害事例と、wikiインシデントを比較した。

OpenAIはまたこの声明において、さらなる基準の必要性にも言及。「OpenAIもより広範なAIコミュニティも、トレーニング、評価、展開の過程で生じるミスアラインメントをどのように報告すべきかについて、明確な基準をまだ確立していない」とし、従来のセキュリティインシデントとは異なる今回のwikiインシデントのような事例の報告に関しても、基準が必要になるとの考えを示した。その上で、「現在、フレームワークの策定に取り組んでおり、今後数週間以内にそれを公開する予定である。また、並行して、世界中の数十の政府規制当局とこれらの問題について協議を進めている」ことを明かしている。