O phishing com caracteres invisíveis entrou no radar de pesquisadores de segurança depois que a Microsoft identificou uma campanha que usa códigos Unicode não visíveis para tentar escapar de filtros de e-mail. A técnica mantém a mensagem aparentemente normal para a pessoa que a recebe, mas altera a forma como sistemas automáticos dividem e analisam as palavras. O caso ajuda a explicar por que um e-mail convincente ainda pode ser fraudulento, mesmo quando passa por filtros conhecidos.

O tema ganhou atenção no Brasil após a expressão em inglês “what is phishing” aparecer entre os assuntos do Google Trends Brasil. O sinal de busca mostra que há interesse em entender a ameaça, mas não significa que a campanha descrita pela Microsoft esteja concentrada no país. O alerta é internacional e serve como orientação geral para usuários, empresas e serviços que processam mensagens recebidas.

Phishing com caracteres invisíveis usa uma falha de interpretação

Em relatório publicado em 3 de setembro, a Microsoft descreveu o chamado ASCII smuggling como o uso de caracteres Unicode que não aparecem na tela, embora continuem presentes no conteúdo digital. O bloco envolvido vai de U+E0000 a U+E007F e reúne códigos associados a caracteres de marcação. Em vez de formar uma mensagem secreta completa, a campanha observada inseria alguns desses códigos no meio de palavras relacionadas a financiamento e crédito.

Para o destinatário, a palavra continua parecendo legível. Para um filtro que procure a sequência exata de letras, porém, a cadeia pode ser dividida por um caractere inesperado. Dependendo do programa, o texto pode ser normalizado antes da análise, separado em partes ou convertido em tokens diferentes. Essa variação explica por que o mesmo conteúdo pode ser reconhecido por uma camada de proteção e escapar de outra.

A Microsoft fez uma distinção importante: no caso analisado, os caracteres não escondiam necessariamente instruções destinadas a uma inteligência artificial. Eles foram reaproveitados para dificultar a detecção de iscas de phishing em mensagens comuns. O vínculo com a segurança de IA está na origem da técnica, que ficou conhecida por esconder instruções de pessoas enquanto mantinha o conteúdo disponível para modelos que processam o texto bruto.

Campanha teve picos de milhões de mensagens

O relatório da Microsoft afirma que os alertas de uma assinatura de caça a esse padrão aumentaram de forma acentuada a partir de 9 de fevereiro de 2026. O pico ultrapassou 2,3 milhões de mensagens em um único dia, e a atividade ficou concentrada em dias úteis durante vários meses. A empresa relacionou parte do tráfego a domínios descartáveis com temas financeiros e ofertas de empréstimos, crédito ou financiamento.

A presença de Unicode invisível não prova, sozinha, que uma mensagem seja fraudulenta: a Microsoft cita usos legítimos em emojis e conteúdos técnicos. O alerta cresce quando o padrão aparece junto de remetente desconhecido, promessa financeira e pedido de clique.

Como reconhecer um e-mail suspeito

O primeiro cuidado é não clicar no link apenas porque a mensagem parece profissional ou usa uma marca conhecida. A pessoa deve conferir o endereço completo do remetente, desconfiar de urgência artificial e observar se o pedido envolve senha, código de autenticação, dados bancários ou pagamento. Erros de contexto, promessa de crédito fácil e pressão para responder rapidamente também merecem atenção.

O CERT.br, na Cartilha de Segurança para Internet, recomenda verificar a origem das mensagens e acessar o site de uma instituição digitando o endereço conhecido no navegador, em vez de seguir links recebidos. A mesma lógica vale para boletos, atualizações de cadastro e supostas notificações de conta. Se houver dúvida, o contato deve ser feito por um canal oficial encontrado fora do e-mail.

Ativar autenticação em dois fatores, manter sistema e navegador atualizados e usar senhas diferentes reduz o impacto de uma tentativa bem-sucedida. Esses recursos não tornam seguro clicar em qualquer mensagem, mas dificultam que uma senha isolada seja suficiente para acessar uma conta. Em ambientes de trabalho, o e-mail suspeito deve ser encaminhado ao canal de segurança da organização sem ser redistribuído.

Por que filtros precisam combinar várias camadas

A recomendação técnica da Microsoft é normalizar ou remover caracteres invisíveis antes de aplicar buscas por palavras, regras e modelos de classificação. A empresa também cita reputação de remetente, endereço IP, domínio e URL, autenticação, detecção de imitação de marca e análise de conteúdo como camadas complementares. O objetivo é não depender de um único sinal que possa ser contornado.

Para quem recebe a mensagem, a consequência prática é simples: a aparência visual não é uma garantia de legitimidade. Um filtro pode bloquear o conteúdo, mas a responsabilidade de confirmar um pedido sensível continua sendo compartilhada com o usuário e com a organização. O leitor pode acompanhar outras orientações no caderno de Tecnologia do Folha 24 Horas, que reúne notícias e serviços sobre segurança digital.

O usuário não precisa identificar códigos Unicode na tela: o mais seguro é interromper o contato, abrir o canal oficial por conta própria e denunciar a mensagem. A cautela é maior quando há promessa de dinheiro, crédito ou solução imediata.