Uma campanha de phishing financeiro analisada pela Microsoft esconde a isca dentro de palavras comuns: caracteres invisíveis do bloco Unicode Tags são inseridos no meio de termos como funding para que filtros de e-mail que casam palavras-chave não encontrem o padrão. Na telemetria do Defender for Office 365, o volume diário de mensagens com essa marca saltou de cerca de 21,000 mensagens para mais de 1.3 milhão de mensagens em um único dia, agrupado em cerca de 150 domínios de remetentes com tema financeiro. A prioridade para equipes de defesa é dupla: auditar como o gateway de e-mail normaliza Unicode antes da detecção e retrocaçar os indicadores da campanha no tráfego dos últimos meses.
A análise foi divulgada em setembro de 2026 no blog de inteligência de ameaças da Microsoft e liga a técnica de evasão a uma operação maior, distribuída pela plataforma de automação de marketing ActiveCampaign e antes documentada pela equipe FIRE da Fortra. O caso mostra um cruzamento de fronteiras: um truque popularizado em pesquisas de injeção de prompt contra assistentes de IA reaproveitado como evasão clássica de filtro de correio.
Como a evasão funciona
O bloco Unicode Tags, que vai de U+E0000 a U+E007F, guarda uma cópia sombra dos caracteres ASCII imprimíveis e está depreciado. A maioria das fontes e interfaces não renderiza esses pontos de código: a mensagem carrega texto que a pessoa não vê, mas que qualquer software que processe o conteúdo bruto recebe. Nas mensagens examinadas, os invasores não escondiam uma instrução inteira; inseriam um único caractere invisível, como o TAG SPACE (U+E0020), dentro de palavras de alto valor como funding, quebrando a sequência contígua que um detector procura. Para quem lê, a palavra segue normal; para um filtro que casa a string literal, ela deixa de existir.
O caminho até a descoberta tem uma ironia útil. A Microsoft construía caça a injeção de prompt em e-mail para o Defender for Office 365 quando a assinatura, na primeira versão, disparava em qualquer ponto de código da faixa — e gerava falsos positivos com as bandeiras da Inglaterra, da Escócia e do País de Gales, emojis codificados exatamente com caracteres de tag. Depois de excluir esses casos e o tráfego benigno de pesquisadores, qualquer pico na curva indicava abuso real. O pico veio em 9 de fevereiro de 2026, com volume sustentado por cerca de três meses.
A campanha por trás da técnica
Ao conectar os domínios ao contexto mais amplo, a Microsoft identificou a campanha de phishing com tema SBA entregue via ActiveCampaign que a Fortra já havia documentado. Segundo a Fortra, os invasores imitavam os programas de nova linha de crédito pré-aprovados da Small Business Administration dos Estados Unidos, com promessas de US$ 4-10m em financiamento dentro de 48h — isca desenhada para pequenas e médias empresas em busca de capital. A estrutura reunia 45 domínios de URL distribuídos em 12 domínios de envio, cada e-mail com ao menos um link único para rastrear o clique do destinatário, e páginas hospedadas em provedores respeitáveis, o que reduzia a chance de bloqueio dinâmico.
Um lote de mensagens vazou parte do código da automação de geração: o parâmetro %company% inseria o nome da empresa-alvo no corpo e no assunto. Assuntos como SBA Rates are Down e Act Fast: New SBA Rate Drop Just Delivered combinavam urgência e personalização — o mesmo padrão de autoridade falsa que sustenta golpes de impostores contra empresas.
Objetivo: dados, não senha
O desvio mais relevante para quem defende: o objetivo da campanha mudou do roubo imediato de credenciais para a coleta de dados que habilita spear phishing altamente personalizado contra as empresas-alvo. Os sites falsos apresentavam questionários que pediam receita bruta da empresa, valor do empréstimo desejado, score de crédito pessoal, cargo, tempo de casa e dados de contato. O clique não infectava a máquina; o valor estava no reconhecimento. Depois do envio, um pop-up avisava que a empresa entraria em contato e sugeria ligar para um número em busca de resposta rápida — a preparação de um vishing contra quem já entregou o contexto financeiro.
Esse tipo de base tem mercado. Informações empresariais coletadas com esse detalhe alimentam ataques posteriores e corretores de acesso que monetizam a porta de entrada de uma rede.
Ritmo e vida da operação
A operação tinha cadência industrial: volume alto em dias úteis e silêncio quase total nos fins de semana, padrão típico de infraestrutura de envio em massa agendada. A assinatura de caça passou de 2.3 milhões de mensagens em 11 de fevereiro, com volumes de 1 a 2.37 milhões por dia útil na primeira fase e declínio gradual até cair com força depois de 15 de maio de 2026, com resíduo baixo até meados de junho. A técnica desapareceu; a operação, segundo a Fortra, seguiu sem ela — o que reforça que bloquear um truque não encerra o adversário.
Sinais para caçar hoje
| Sinal | Onde procurar | Ação |
|---|---|---|
| Pontos de código U+E0000 a U+E007F no corpo ou assunto | Logs do gateway e regras de caça no SIEM | Excluir emojis de bandeira da Inglaterra, Escócia e País de Gales e investigar o restante |
| Assuntos com SBA, Time-Sensitive, Act Fast ou o token %company% | Quarentena de spam e caixas dos times de finanças | Bloquear o padrão e retrocaçar a janela de fevereiro a junho |
| Links para subdomínios de funding em activehosted.com e acemlnd.com | Logs de proxy e DNS | Bloquear os domínios e identificar usuários que clicaram |
| Questionários pedindo receita, score e cargo em páginas de crédito | Relatos de usuários e atendimento de suporte | Tratar como vazamento de dados empresariais e registrar o incidente |
Gateways que normalizam ou descartam esses caracteres antes da detecção enxergam a palavra inteira; a recomendação prática é normalizar antes do casamento de padrões e manter defesas em camadas. A própria Microsoft relata que a maioria das mensagens da campanha foi contida por proteções em camadas, não por um único sinal Unicode.
Ações prioritárias
P1 — esta semana: auditar a normalização de Unicode do pipeline de detecção de e-mail; retrocaçar na janela de fevereiro a junho os indicadores da tabela acima; alertar times de finanças e empresas de menor porte sobre a isca de linha de crédito SBA e sobre o pop-up que induz ligação telefônica.
P2 — este mês: exigir confirmação de qualquer oferta de crédito por canal oficial; incluir o cenário do questionário falso nos treinamentos de conscientização; monitorar contatos telefônicos subsequentes contra quem clicou, fechando o ciclo do vishing.
A técnica é nova neste contexto; a defesa é antiga. Normalização antes da detecção, camadas em vez de assinatura única e verificação fora do canal continuam sendo o tripé que separa uma campanha de alto volume de um incidente real.