Serangan phishing terus berkembang dengan memanfaatkan celah pada sistem keamanan digital. Salah satu teknik terbaru menggunakan karakter Unicode tak terlihat untuk menyamarkan kata-kata tertentu dalam email sehingga lebih sulit dikenali oleh filter keamanan.

Microsoft mengungkap kampanye phishing berskala besar yang menggunakan teknik tersebut. Serangan ini dilaporkan mampu mengirim hingga jutaan email dalam satu hari dan menyasar pengguna dengan berbagai iming-iming terkait pendanaan bisnis.

Baca Juga: Hanya Klik Email, Begini Serangan Phishing ke Perusahaan

Jutaan Email Phishing Dikirim dalam Skala Besar

Microsoft menyebut aktivitas tersebut sebagai kampanye phishing bervolume tinggi yang mulai terdeteksi pada awal Februari 2026. Kampanye memasuki fase dengan volume sangat besar selama sekitar tiga bulan sebelum turun tajam setelah 15 Mei 2026.

Pada hari kerja, jumlah email yang dikirim diperkirakan mencapai 1 juta hingga 2,37 juta pesan. Puncak aktivitas terjadi pada 26 Februari 2026. Kampanye juga menunjukkan pola mingguan, dengan aktivitas yang hampir berhenti pada akhir pekan dan kembali meningkat pada hari Senin.

Beberapa cirinya, antara lain:

• Mengirim hingga jutaan email per hari.
• Menggunakan ratusan domain pengirim yang bersifat sementara.
• Menawarkan pinjaman bisnis, kredit usaha, dan pendanaan.
• Menargetkan penerima dengan iming-iming layanan keuangan.

Besarnya volume membuat serangan menjadi lebih sulit dihadapi hanya dengan pemeriksaan email secara manual.

Karakter Tak Terlihat Digunakan untuk Mengelabui Filter

Teknik yang digunakan berkaitan dengan ASCII smuggling, yaitu metode menyisipkan karakter Unicode yang tidak terlihat dalam teks. Microsoft menyebut pelaku memanfaatkan Unicode Tags block, yaitu rentang karakter U+E0000 hingga U+E007F.

Karakter tersebut dapat disisipkan di antara huruf dalam sebuah kata tanpa mengubah tampilan yang dilihat penerima. Namun, struktur teks yang diproses sistem menjadi berbeda.

Contohnya, kata “funding” dapat disisipi karakter tak terlihat di tengahnya. Bagi pengguna, kata tersebut tetap tampak normal, tetapi filter yang hanya mencari kata “funding” secara utuh dapat gagal mendeteksinya.

Dampaknya, antara lain:

• Email tetap terlihat normal bagi penerima.
• Struktur teknis kata sebenarnya telah diubah.
• Pencarian berdasarkan keyword literal dapat terlewati.
• Regex yang tidak memperhitungkan karakter Unicode tertentu juga berpotensi gagal mendeteksi.

Baca Juga: Cara Mengenali Modus Phising yang Mirip Login Microsoft

Serangan Memanfaatkan Platform dan Tema yang Terlihat Tepercaya

Kampanye ini menggunakan domain yang dibuat menyerupai perusahaan pembiayaan untuk meningkatkan kredibilitas email. Microsoft juga mengaitkannya dengan kampanye phishing yang sebelumnya memanfaatkan platform pemasaran dan otomatisasi ActiveCampaign.

Penggunaan platform resmi dapat membuat serangan lebih sulit dibedakan dari aktivitas pemasaran biasa, terutama bagi sistem yang mengandalkan reputasi IP atau infrastruktur pengirim.

Karakteristik lainnya meliputi:

• Domain pengirim menggunakan istilah yang berkaitan dengan keuangan.
• Email dibuat menyerupai penawaran pendanaan yang sah.
• Tautan dikirim melalui sistem pelacakan milik platform pemasaran.
• Konten dapat dibuat dan disebarkan dalam jumlah sangat besar.

Mengapa Phishing Modern Makin Sulit Dikenali?

Phishing saat ini tidak selalu memiliki ciri-ciri yang mudah terlihat. Penyerang dapat menggabungkan social engineering, otomatisasi, AI, dan teknik penyamaran teks untuk membuat pesan lebih meyakinkan.

Karakter Unicode tak terlihat juga menunjukkan bahwa tampilan visual email bukan satu-satunya hal yang perlu diperiksa. Email yang tampak normal tetap dapat mengandung elemen yang dirancang untuk menghindari deteksi.

Pengguna dan perusahaan perlu memperhatikan beberapa hal berikut:

• Jangan hanya menilai email dari tampilannya.
• Periksa alamat pengirim dan domain tujuan.
• Waspadai tawaran keuangan yang datang tanpa konteks.
• Hindari mengklik tautan dari email yang mencurigakan.
• Pastikan sistem keamanan email mampu mendeteksi teknik obfuscation berbasis Unicode.

Perkembangan ini menunjukkan bahwa perlindungan terhadap phishing membutuhkan pendekatan berlapis, bukan hanya mengandalkan pencarian keyword. Sistem keamanan perlu menganalisis struktur pesan, reputasi pengirim, tautan, perilaku pengiriman, serta konteks email secara keseluruhan.