Serangan Phising Karakter Unicode

Serangan Phising Karakter Unicode – Email phising terus berkembang dengan memanfaatkan kelemahan dalam cara sistem keamanan membaca dan menganalisis pesan. Salah satu teknik yang terungkap pada 2026 bahkan menggunakan karakter Unicode yang tidak terlihat oleh penerima untuk menyamarkan kata-kata tertentu.

Pesan tetap tampak normal ketika dibuka, tetapi susunan teks di dalamnya telah dimodifikasi agar lebih sulit dikenali oleh sebagian mekanisme penyaringan email.

Teknik ini ditemukan dalam kampanye phising berskala besar yang memanfaatkan penawaran pendanaan dan pinjaman bisnis sebagai umpan.

Temuan tersebut memperlihatkan bahwa penyerang tidak selalu perlu membuat email dengan tautan atau lampiran yang rumit. Mereka juga dapat memanipulasi karakter dalam isi pesan untuk menghindari pemeriksaan keamanan.

Menyisipkan Karakter yang Tidak Terlihat

Teknik yang digunakan berkaitan dengan ASCII smuggling, yaitu pemanfaatan karakter Unicode yang tidak ditampilkan secara normal oleh antarmuka pengguna. Dalam kasus ini, penyerang menggunakan karakter dari rentang Unicode Tags, yakni U+E0000 hingga U+E007F.

Karakter tersebut disisipkan di antara huruf-huruf dalam kata tertentu. Sebagai contoh, kata funding dapat disusun menjadi fun[karakter tak terlihat]ding. Bagi penerima, kata itu tetap terlihat sebagai funding. Tidak ada simbol aneh atau perubahan tampilan yang langsung mengundang kecurigaan.

Namun, sistem keamanan email yang menggunakan pencocokan kata secara literal atau pola tertentu (regular expression) dapat membaca susunan karakter tersebut secara berbeda.

Jika sistem tidak menormalkan karakter tersembunyi sebelum memeriksa isi pesan, kata yang seharusnya dikenali sebagai funding mungkin tidak lagi terbaca sebagai satu rangkaian teks utuh.

Dengan demikian, penyerang berusaha mengeksploitasi perbedaan antara teks yang dilihat manusia dan representasi teks yang diproses oleh sistem keamanan.

Baca juga: Panduan Menghadapi Serangan Botnet

Kampanye phising Menyasar Penawaran Pendanaan Bisnis

Dalam publikasi riset keamanan pada September 2026, peneliti mengungkap kampanye yang menggunakan karakter Unicode tak terlihat untuk menyamarkan kata-kata terkait keuangan.

Email yang diamati menawarkan pinjaman bisnis, fasilitas kredit, dan pendanaan tambahan. Tema tersebut dipilih untuk menarik perhatian penerima yang mungkin sedang mencari dukungan finansial bagi usahanya.

Aktivitas dengan teknik ini mulai terlihat pada 9 Februari 2026. Berdasarkan telemetri yang dianalisis, jumlah pesan yang terdeteksi meningkat tajam sejak tanggal tersebut.

Pada puncaknya, volume mencapai lebih dari 2,3 juta pesan dalam satu hari. Aktivitas berskala besar berlangsung selama sekitar tiga bulan dan menurun tajam setelah 15 Mei 2026.

Peneliti juga menemukan pola pengiriman yang teratur. Volume email meningkat pada hari kerja, sementara aktivitasnya hampir berhenti pada akhir pekan.

Kampanye tersebut menggunakan ratusan domain pengirim bertema keuangan yang dapat diganti-ganti, sehingga identitas pengirim tidak bergantung pada satu domain saja.

Penggunaan layanan pemasaran email yang sah turut menjadi bagian dari pola pengiriman. Infrastruktur semacam ini memiliki reputasi pengiriman yang telah terbentuk karena digunakan oleh banyak organisasi untuk kebutuhan komunikasi dan pemasaran.

Ketika disalahgunakan, reputasi layanan tersebut berpotensi menyulitkan penyaringan yang terlalu mengandalkan reputasi alamat IP atau infrastruktur pengirim.

Meski demikian, penggunaan layanan yang sah tidak otomatis membuat email menjadi aman. Isi pesan, domain pengirim, tautan, dan perilaku pengiriman tetap perlu diperiksa secara menyeluruh.

Mengapa Teknik Ini Menjadi Tantangan?

Penyaringan email modern tidak hanya mengandalkan daftar alamat pengirim atau kata-kata tertentu. Sistem keamanan dapat menggabungkan reputasi domain, analisis tautan, autentikasi email, pola pengiriman, serta pemodelan untuk mengidentifikasi pesan berbahaya.

Namun, manipulasi karakter dapat menimbulkan tantangan ketika proses analisis teks tidak menangani karakter Unicode secara konsisten. Sistem yang memeriksa kata funding secara langsung, misalnya, bisa gagal menemukan kata tersebut apabila ada karakter tersembunyi di tengah susunannya.

Teknik ini juga menunjukkan bagaimana metode yang dikenal dalam penelitian keamanan kecerdasan buatan dapat dimanfaatkan kembali untuk serangan email konvensional.

ASCII smuggling sebelumnya banyak dibahas dalam konteks penyisipan instruksi tersembunyi yang tidak terlihat oleh manusia, tetapi masih dapat dibaca oleh sistem AI. Dalam kampanye ini, karakter tak terlihat tersebut digunakan dengan tujuan berbeda: mengganggu proses pengenalan kata oleh filter email.

Meski demikian, temuan tersebut tidak berarti seluruh sistem keamanan email dapat dilewati. Telemetri yang dipublikasikan menunjukkan bahwa lebih dari 99 persen pesan dalam pengamatan tertentu berhasil ditandai melalui kombinasi beberapa lapisan perlindungan, bukan hanya deteksi karakter Unicode

Artinya, teknik ini dapat menjadi celah bagi sistem yang tidak menangani karakter tersembunyi dengan baik, tetapi efektivitasnya tetap bergantung pada konfigurasi dan kemampuan sistem pertahanan yang digunakan.

Langkah Mengurangi Risiko Email Phising

Menghadapi teknik seperti ini, organisasi perlu memastikan bahwa perlindungan email tidak hanya bergantung pada pencocokan kata atau pemeriksaan satu indikator. Beberapa langkah berikut dapat diterapkan:

Normalisasi karakter sebelum penyaringan. Sistem keamanan email perlu memeriksa dan menormalkan karakter Unicode yang tidak terlihat sebelum menerapkan pencocokan kata, tanda tangan, atau pola teks. Dengan begitu, penyisipan karakter tersembunyi tidak mudah memecah kata yang seharusnya dikenali.
Gunakan pemeriksaan berlapis. Analisis reputasi domain, autentikasi pengirim, alamat IP, tautan, pola pengiriman, dan isi pesan perlu dijalankan secara terpadu. Jangan menjadikan satu indikator sebagai satu-satunya dasar untuk menentukan apakah email aman.
Periksa domain dan alamat pengirim. Pengguna perlu memperhatikan apakah domain pengirim sesuai dengan organisasi yang diklaim. Nama layanan atau perusahaan yang terlihat pada nama pengirim belum tentu menunjukkan alamat email yang benar-benar berasal dari pihak tersebut.
Jangan langsung mengikuti tautan dalam email. Penawaran pinjaman, pendanaan, atau fasilitas kredit yang meminta penerima mengisi data perusahaan dan informasi keuangan perlu diverifikasi melalui situs resmi atau saluran komunikasi yang sudah dikenal.
Laporkan email mencurigakan. Organisasi sebaiknya menyediakan mekanisme pelaporan email mencurigakan agar tim keamanan dapat memeriksa pesan, mencari pola serupa, dan mengambil tindakan sebelum pesan lain menjangkau lebih banyak pengguna.

Teknik penyisipan karakter tak terlihat memperlihatkan bahwa ancaman email phising tidak selalu mudah dikenali dari tampilannya. Sebuah pesan dapat terlihat rapi dan menggunakan kata-kata yang wajar, sementara struktur teks di baliknya sengaja dimanipulasi untuk menghindari pemeriksaan.

Karena itu, keamanan email perlu memperhatikan bukan hanya apa yang terlihat oleh penerima, tetapi juga bagaimana isi pesan direpresentasikan dan diproses oleh sistem. Pemeriksaan berlapis, normalisasi karakter, serta kebiasaan memverifikasi pengirim dan isi pesan tetap menjadi bagian penting dalam mengurangi risiko serangan.