ASCII スマグリングの新たな手法：不可視の Unicode 文字によるプロンプト・インジェクションとは？

Microsoft Finds ASCII Smuggling Repurposed for Phishing Campaign

2026/09/04 SecurityBoulevard — Microsoft の研究者が報告したのは、AI のプロンプト・インジェクション研究で広く知られるようになった手法を脅威アクターが大規模なフィッシング・キャンペーンに転用し、不可視の Unicode 文字によりメール・フィルターの検出を回避していることである。この発見は、Microsoft Defender for Office 365 のプロンプト・インジェクション保護に関する研究から得られたものであり、メール内の ASCII スマグリングを検出するために作成されたハンティング・シグネチャでは、2月9日から検出数の急増が記録されていた。

シグネチャ・ヒットは前日の約 21,000 件から 130 万件以上へと増加し、Microsoft のテレメトリでは、平日の検出数が 237 万件に達したこともある。この手法の大規模な悪用は約 3 カ月間続いたが、5月15日以降に急激に減少した。

ASCII スマグリングは、不可視の Unicode タグ文字を使用して人間からテキストを隠しながら、AI モデルなどのソフトウェアに処理させる手法である。今回のキャンペーンで Microsoft が発見したのは、”funding” などの金融関連の誘導用語にこれらの文字を挿入し、本来とは異なる目的で、この手法を転用していたことである。

今回のケースでは、受信者には単語が通常どおり表示される一方で、内部のテキスト表現が変更されることでキーワードの完全一致による検出が回避されていた。システムによる Unicode の処理方法に応じて、機械学習フィルターにも影響を及ぼす可能性がある。

不可視文字を使用したフィッシング・フィルターの回避自体は新しい手法ではなく、これまでの攻撃者たちも、ゼロ幅スペースなど別の文字を使用してフィッシング・メッセージ内の単語を分断していた。これに対して、今回の特徴として Microsoft が指摘するのは、最近の AI セキュリティ研究で注目されている特定の Unicode タグ文字ブロックが使用された点である。

Microsoft がこの活動について確認したのは、データセキュリティ企業 Fortra が 2025年に報告した米国中小企業庁 (Small Business Administration：SBA) をテーマとする大規模なフィッシング・キャンペーンとの関連性である。Fortra によると、この活動では ActiveCampaign のインフラが使用され、売上高／希望融資額／信用スコア／連絡先情報などの企業情報／財務情報の入力を求めるサイトへと被害者が誘導されていた。Microsoft によると、Unicode を使用する手法は、このキャンペーンの後期段階で出現した。

Microsoft は今回の調査結果を公開する前に、ActiveCampaign と情報を共有している。ActiveCampaign は声明で、同社のモデレーション・システムでは不可視の Unicode 文字を含むメッセージも、難読化されていないメッセージと同様に処理され、「この手法の多用自体も不審なシグナルとして扱われる」と述べている。

メール・セキュリティ・システムが、メッセージ内容を分析する前に実施する Unicode タグ文字に対する処理方法に応じて、この手法によりセキュリティ上の盲点を生じる可能性がある。その一方で Microsoft が指摘するのは、テレメトリで確認されたメッセージの 99% 以上は、レピュテーション／認証／機械学習ベースの検出などの、Defender の保護機能により検出されたことだ。

同社は防御側に対し、自組織のメール・セキュリティ・パイプラインにおけるこれらの文字の処理方法をテストするよう推奨している。具体的には、スパム／フィッシング・コンテンツ・シグネチャを適用する前に不可視の Unicode 文字を削除して正規化し、Unicode タグ文字の異常な使用を潜在的な警告サインとして扱うことが求められる。

また、ASCII スマグリングを使用したプロンプト・インジェクション攻撃のリスクをさらに低減するため、AI アシスタントがメール・コンテンツを取り込む前の段階でも同様の正規化を適用することが推奨されている。このキャンペーンの詳細はこちらで確認できる。

Microsoft Defender for Office 365 の検証で判明した ASCII スマグリングを解説する記事です。不可視 Unicode 文字の悪用による金融用語の難読化／機械学習フィルターや完全一致検出の回避／セキュリティ上の盲点発生といった深刻な問題が生じています。これらへの対応策として、コンテンツシグネチャ適用前における不可視文字の削除によるテキスト正規化／Unicode タグ文字の異常利用に対する判定ロジック組み込み／AI 取り込み前段階での事前正規化の実施といった運用上の対策が求められます。