AIエージェントへのプロンプトインジェクション攻撃で使われてきた「ASCII smuggling（ASCIIスマグリング）」という手口が、メールフィッシング業者に転用されていることが、Microsoftのセキュリティ調査で明らかになった。ピーク時には1日237万通ものメールがこの手法で配信されており、AI領域で生まれた回避技術が従来型の詐欺に流用される事例として注目されている。

見えない文字でキーワードフィルターをすり抜ける

ASCII smugglingは、Unicodeの「Tagsブロック」（U+E0000〜U+E007F）と呼ばれる、もともとは言語タグ付け用途でほぼ廃止状態にある不可視文字を悪用する手法だ。この範囲の文字はメール本文に挿入しても受信者の画面には一切表示されないが、テキストデータとしては存在し続ける。

攻撃者は、例えば「funding」のような金融関連の重要キーワードの間にこの不可視文字を挿入する。人間が読むと通常の単語にしか見えないが、従来のキーワードマッチング型フィルターは文字列が分断されているため検出できない。この技術はもともと、AIエージェントやチャットボットに偽の指示を注入する「プロンプトインジェクション」攻撃で確立されたものだが、今回はメールフィルター回避という別の文脈に応用された形だ。

2月に急増、ピーク日は237万通

Microsoft Security Research Teamは、自社のMicrosoft Defender for Office 365におけるプロンプトインジェクション対策の研究過程で、この技術の悪用を発見した。通常は1日5000〜2万件程度だったこの手法を使ったメールの送信数は、2026年2月9日に130万件超まで急増し、2月26日には1日237万通というピークに達した。

高ボリュームの活動期間は2026年2月から5月中旬まで続き、5月15日を境に急減した。活動には明確なパターンがあり、平日にフル稼働する一方、週末はほぼ活動を停止し、月曜日に再開するというサイクルを繰り返していたという。

標的は中小企業ローン申請者、正規プラットフォームを悪用

このキャンペーンは主に、米国中小企業庁（SBA）のローン申請者を狙った融資詐欺として展開された。guardiangrowthfunding[.]com、digitalcapitalboost[.]com、thebusinessloanexpress[.]comといった、いかにも金融サービスらしいドメイン名が多数使われている。

攻撃者はさらに、マーケティングプラットフォーム「ActiveCampaign」を送信経路として悪用した。正規のマーケティング配信サービスを経由することで、送信元の評判に基づくレピュテーションフィルターを回避し、大量の詐欺メールを一般的な広告メールに見せかけていた。ActiveCampaign側は、不可視文字を含むメールも通常のメールと同等のモデレーション判定を受けているとしつつ、この技術の多用は不審な兆候として検出対象になるとコメントしている。

AIセキュリティ研究が生んだ手口の転用リスク

今回の事例が示すのは、AIの安全性研究の過程で見つかった攻撃手法が、従来型のサイバー犯罪に流用されるまでの速さだ。ASCII smugglingはこれまで主にAIエージェントやLLMを狙う技術として議論されてきたが、メールセキュリティという既存の防御網に対しても有効に機能することが実証された形になる。

メールセキュリティ製品を運用する事業者にとっては、キーワードマッチングだけに依存したフィルタリングの限界が改めて浮き彫りになった。不可視のUnicode文字を検出・除去する前処理や、送信元プラットフォームの評判だけに頼らない多層的な検知の重要性が、今後さらに増していきそうだ。