ASCII smuggling: onzichtbare tekens in phishing én in AI-prompts

TL;DR

• Een phishingmail kan woorden bevatten die jij gewoon leest, maar die je e-mailfilter niet herkent. Tussen de letters zitten Unicode-tekens die nergens op het scherm verschijnen.
• Microsoft beschreef op 3 september 2026 een campagne die zo werkte: financiële lokmiddelen, op de piek meer dan 2,3 miljoen berichten op een dag.
• De truc komt uit het onderzoek naar prompt injection, waar dezelfde tekens instructies verbergen voor een AI-assistent.
• Je medewerkers kunnen dit niet zien, dus awareness alleen lost het niet op. Een filter dat Unicode normaliseert en een test van je mailboxassistent wel.

Je krijgt een mail over zakelijke financiering. Gewone zinnen, een gewone afzender, niets dat opvalt. Toch leest je e-mailfilter iets anders dan jij. Tussen de letters van het woord "funding" zitten tekens die je mailprogramma niet toont. Jij ziet funding; het filter ziet fun, iets onleesbaars, en ding. Dat is ASCII smuggling: tekst verbergen met Unicode-tekens die wel bestaan, maar nooit op het scherm komen.

De techniek dook eerst op bij aanvallen op AI-assistenten. Sinds begin 2026 zit ze ook in gewone phishing, en op grote schaal. Dat verandert iets aan hoe je er als bedrijf naar kijkt. Een onzichtbaar teken is geen aanwijzing die een collega had kunnen zien. Onze social engineering assessments meten hoe je mensen reageren op een realistische phishingmail en welke teams een extra training nodig hebben. Met Swishing oefenen ze het beslismoment in korte sessies. Voor dit soort phishing moet de eerste verdediging alleen ergens anders zitten: in je mailketen, niet in de inbox.

Hoe ASCII smuggling werkt in phishing

Unicode heeft een blok tekens dat Tags heet. Het bevat een onzichtbare tweeling van elk gewoon ASCII-teken: een onzichtbare A, een onzichtbare spatie, en zo verder. Het was bedoeld voor taallabels en leeft vandaag vooral nog in een handvol vlagemoji's. Bijna geen enkel programma toont de tekens. Een mailclient slaat ze over, een browser ook.

Een filter dat op woorden zoekt, werkt anders. Het vergelijkt tekenreeksen. Zet je een onzichtbare spatie midden in "funding", dan is dat voor het filter een ander woord. De regel die financiële lokmiddelen moet tegenhouden, loopt er gewoon langs. De ontvanger merkt niets, want voor hem staat er nog altijd funding.

Microsoft beschreef op 3 september 2026 een campagne die precies dit deed. Op 8 februari 2026 telde het ongeveer 21.000 berichten met zulke tekens, op 9 februari meer dan 1,3 miljoen, en op de piek meer dan 2,3 miljoen op een dag. Vrijwel alles kwam van afzenders met een financieel thema, met zakelijke leningen en kredietlijnen als lokmiddel. Tegen eind maart zakte het volume, en na half mei bleef er weinig van over.

Een nuance die ertoe doet: Microsoft meldt ook dat meer dan 99 procent van die berichten toch werd tegengehouden, door lagen die niet afhangen van het opsporen van de verborgen tekens. De truc klopte een controle, niet de hele keten. Dat is geruststellend voor wie zijn mail goed heeft ingericht, en minder voor wie leunt op regels met trefwoorden.

Hoe het bij prompt injection begon

In januari 2024 toonde een onderzoeker op embracethered.com hoe je met tekens uit dat blok Tags een volledige instructie kunt verstoppen in tekst die er normaal uitziet. Een mens ziet een gewone zin. Een taalmodel leest de onzichtbare tekens ook, en doet wat erin staat. In de demo liet verborgen tekst een bekende AI-assistent een afbeelding maken waar niemand om had gevraagd.

Dat is prompt injection: tekst die invoer hoort te zijn, gedraagt zich als opdracht. We legden het eerder uit in onze post over prompt injection. In 2025 werd ASCII smuggling een vast onderdeel van dat onderzoek. Phishers keerden de truc om. Bij prompt injection mag de mens de tekst niet zien en het model wel. Bij phishing moet de mens de tekst lezen en het filter niet. Dezelfde tekens, de omgekeerde bedoeling.

Microsoft vond de campagne trouwens tijdens een jacht op prompt injection in mail. De eerste versie van de zoekregel sloeg aan op elk teken uit het blok Tags, en ving zo ook de vlaggen van Engeland, Schotland en Wales. Die emoji's bestaan uit precies die tekens.

Waarom awareness alleen dit niet oplost

Het gebruikelijke antwoord op phishing is training. Leer je mensen de kenmerken herkennen: een afzender die niet klopt, druk om snel te handelen. Dat blijft zinvol. Maar bij ASCII smuggling is er niets te herkennen. De mail ziet er voor de lezer exact hetzelfde uit met of zonder de tekens. Wie klikt, heeft geen signaal gemist. Er was geen signaal.

Dat bepaalt hoe je met een incident omgaat. Een medewerker die op zo'n mail ingaat, is niet de schuldige. Het filter had het bericht moeten normaliseren en deed dat niet. Schuif je de verantwoordelijkheid toch naar de mens, dan leer je de verkeerde les en blijft het echte gat open.

Hetzelfde geldt voor de AI-assistent in je mailbox. Laat je een assistent mails samenvatten of beantwoorden, dan krijgt hij de ruwe tekst, onzichtbare tekens inbegrepen. Een instructie die jij niet ziet, ziet hij wel. Daar helpt geen training tegen, want de mens zit niet eens in de lus.

Wat wel helpt

Vier dingen, in volgorde van wat het meest oplevert.

Laat je mailfilter Unicode normaliseren voor het vergelijkt. Microsoft vat het samen als: normaliseer eerst, vergelijk daarna. Haal tekens uit het blok Tags en zero-width tekens weg of vouw ze samen voor een regel op woorden zoekt. Vraag je IT-partner of mailleverancier of dat al gebeurt. Vaak weet niemand het zeker.

Behandel mailinhoud die naar een AI-assistent gaat als onbetrouwbaar. Een mail is invoer van een vreemde, ook als de assistent hem netjes samenvat. Normaliseer de tekst ook daar, en geef de assistent geen rechten die een phishingmail kan misbruiken: zelf antwoorden of doorsturen, laat staan een betaling klaarzetten.

Test je mailboxassistent op verborgen instructies. Stuur hem een mail met een instructie in onzichtbare tekens en kijk wat hij doet. Bij een pentest van AI-systemen doen we precies dat, met de assistent zoals hij bij jou draait.

Hou realistische phishingsimulaties voor de rest. Het grootste deel van de phishing is gewoon zichtbaar, en daar telt het beslismoment van je mensen nog altijd. Een phishingtest meet wie klikt en welke teams een extra ronde nodig hebben. Hoe we daar een spel van maken in plaats van een slideshow, lees je in onze post over gamified phishingsimulaties.

Veelgestelde vragen

Wat is ASCII smuggling?

ASCII smuggling is tekst verbergen met Unicode-tekens die niet op het scherm verschijnen, vooral uit het blok Tags. Een mens ziet gewone tekst; een programma of taalmodel dat de ruwe tekens leest, ziet meer.

Kan ik onzichtbare tekens in een mail zelf zien?

Niet in een gewone mailclient. Je ziet ze alleen als je de broncode van het bericht opent of de tekst door een tool haalt die elk teken toont. Van je medewerkers mag je dat niet verwachten.

Is dit hetzelfde als prompt injection?

Nee, maar het is dezelfde techniek. Bij prompt injection verbergen de tekens een instructie voor een AI-model. Bij phishing verbergen ze woorden voor een e-mailfilter. In beide gevallen leest de machine iets anders dan de mens.

Helpt security awareness training tegen ASCII smuggling?

Niet rechtstreeks, want er is niets te herkennen. Training helpt wel tegen de rest van de phishing, en die is veel groter. Daarom combineren we Swishing met technische maatregelen in de mailketen.

Hoe test ik of mijn e-mailfilter hier gevoelig voor is?

Stuur een testmail met een bekend lokwoord waar onzichtbare tekens in zitten, en kijk of de regel nog aanslaat. Doet hij dat niet, dan normaliseert je filter niet. Een phishingtest kan zo'n variant meenemen.

Loopt de AI-assistent in mijn mailbox risico?

Elke assistent die ruwe mailtekst leest, krijgt ook de onzichtbare tekens binnen. Of hij er iets mee doet, hangt af van het model en van wat de assistent mag. Dat weet je pas zeker als je hem test zoals hij bij jou draait.

Gerelateerde diensten en bronnen

Wil je weten hoe je mensen reageren op phishing die wel zichtbaar is, dan start je bij onze social engineering assessments of een gerichte phishingtest. Swishing traint het beslismoment in korte sessies. Draait er een AI-assistent in je mailbox, dan testen we die op verborgen instructies in een pentest van AI-systemen. Achtergrond lees je in onze posts over wat phishing is, prompt injection, gamified phishingsimulaties en wat Swishing is. De technische details van de campagne staan op de Microsoft Security-blog van 3 september 2026; de oorsprong van de techniek is beschreven op embracethered.com in januari 2024.