공격자, 보이지 않는 유니코드 문자로 피싱 단어 은닉

ASCII 스머글링을 활용한 보이지 않는 유니코드 피싱 단어 숨기기 확산

• 공격자는 이메일 피싱에서 ‘ASCII 스머글링’ 기법을 채택해 태그 블록(U+E0000–U+E007F) 유니코드 문자를 단어 사이에 삽입해 보안 필터의 키워드 탐지를 회피한다.
• 마이크로소프트는 금융 관련 피싱 캠페인에서 ‘funding’ 같은 단어가 ‘fun U+E0020 ding’으로 분할돼 수신자에게는 정상으로 보이면서 필터에는 다른 문자열로 인식되도록 악용된다고 분석했다.
• 이 기법은 원래 AI 프롬프트 인젝션에서 LLM이 보지 못하는 명령을 숨기는 용도로 쓰이던 것으로, 같은 태그 블록 문자를 이메일 본문·제목에 적용해 사람 눈에는 안 보이는 공격 신호를 삽입하는 방식으로 확장되고 있다.
• 마이크로소프트와 BleepingComputer 분석에 따르면 이 피싱 캠페인은 수백만 건 이상 대량 이메일을 발송하며 금융 키워드, 송금 관련 용어, 계정 알림 문구에 보이지 않는 태그 문자를 주입하는 패턴을 보인다.
• ASCII 스머글링은 전통적인 키워드·시그니처 기반 이메일 필터를 우회하고, AI 기반 필터에도 보이지 않는 명령을 주입할 수 있어 글로벌 이메일 보안 제품, LLM 보안 설계, 표준 문자 처리 정책 전반의 재검토를 촉발하는 계기가 된다.
• 유니코드 태그·제로폭 문자 악용은 한글 문자 범위에도 확장 가능해 국내 이메일·메신저·공공 포털에 동일 기법이 이식될 위험이 크므로, 국가 차원의 문자 처리 규칙, 필터링 엔진 개선, 공공·금융 분야 사용자 교육을 서둘러 마련할 필요가 있다.

유니코드 문자 악용은 기술 난이도 대비 정책 파급이 크므로, 국내 이메일·메신저·AI 서비스의 문자 처리 정책을 전수 점검하고 금융·선거·공공 영역에서 보이지 않는 문자 탐지와 사용자 경각심 제고를 병행하는 대응 전략이 필요하다.

주요 용어: ASCII 스머글링(보이지 않는 유니코드 문자로 단어·명령을 숨겨 보안 필터를 회피하는 기법), 유니코드 태그 블록(U+E0000–U+E007F 범위에 존재하는 특수 문자 집합으로, 화면에는 보이지 않지만 시스템에는 다른 문자로 인식되도록 하는 데 악용될 수 있는 코드 영역)

출처: BleepingComputer