technology News: ईमेल फिल्टर को चकमा दे रहे हैकर्स, इनविजिबल यूनिकोड कैरेक्टर्स का इस्तेमाल; ऐसे बचे

Technology News: Hackers are bypassing email filters using invisible Unicode characters; here’s how to protect yourself from phishing attacks. Show alternatives

माइक्रोसॉफ्ट की चेतावनी—दिखाई देने वाला टेक्स्ट सामान्य, लेकिन उसके पीछे छिपे हो सकते हैं कैरेक्टर्स

technology News: टेक्नोलॉजी। माइक्रोसॉफ्ट ने यूजर्स को एक ऐसे फिशिंग कैंपेन को लेकर चेतावनी दी है, जिसमें साइबर अपराधी ईमेल सिक्योरिटी फिल्टर्स को चकमा देने के लिए इनविजिबल यूनिकोड टैग कैरेक्टर्स का इस्तेमाल कर रहे हैं। ये कैरेक्टर्स यूजर को दिखाई नहीं देते, लेकिन ईमेल को प्रोसेस करने वाले सिस्टम या सॉफ्टवेयर में मौजूद रहते हैं।

माइक्रोसॉफ्ट सिक्योरिटी रिसर्च टीम के मुताबिक, यह तरीका एआई दौर में सामने आ रही नई इवेजन तकनीकों का उदाहरण है। खास बात यह है कि ऐसी तकनीकों का इस्तेमाल अब केवल एआई मॉडल को भ्रमित करने तक सीमित नहीं है, बल्कि पारंपरिक फिशिंग और स्पैम अभियानों में भी किया जा रहा है।

कैसे ईमेल फिल्टर को चकमा देते हैं हैकर्स?
हमलावर ईमेल के टेक्स्ट के बीच ऐसे यूनिकोड कैरेक्टर्स डालते हैं, जिन्हें सामान्य यूजर इंटरफेस पर देखा नहीं जा सकता। इनके जरिए फाइनेंशियल ल्योर्स यानी लोगों को आकर्षित करने वाले वित्तीय शब्दों को छोटे-छोटे हिस्सों में बांट दिया जाता है। इससे ईमेल सिक्योरिटी फिल्टर के लिए पूरे शब्द को पहचानना मुश्किल हो सकता है। नतीजतन ऐसा फिशिंग ईमेल सामान्य सिक्योरिटी जांच से बच निकल सकता है। माइक्रोसॉफ्ट के अनुसार, इस मामले में इनविजिबल कैरेक्टर्स का उद्देश्य यूजर से कोई निर्देश छिपाना नहीं, बल्कि खास शब्दों को इस तरह विभाजित करना है कि सिक्योरिटी सिस्टम उन्हें आसानी से पहचान न सके।

क्या होते हैं इनविजिबल यूनिकोड कैरेक्टर्स?
ये ऐसे कैरेक्टर्स होते हैं जो टेक्स्ट में मौजूद रहते हैं, लेकिन सामान्य तौर पर स्क्रीन पर दिखाई नहीं देते। इसलिए यूजर को ईमेल का टेक्स्ट पूरी तरह सामान्य नजर आ सकता है, जबकि उसके अंदर अतिरिक्त कैरेक्टर्स मौजूद होते हैं। यही अंतर साइबर अपराधियों के लिए उपयोगी साबित हो रहा है। कोई सिक्योरिटी फिल्टर, सॉफ्टवेयर या एआई सिस्टम टेक्स्ट को प्रोसेस करते समय इन कैरेक्टर्स को पढ़ सकता है, जबकि इंसानी आंख उन्हें देख नहीं पाती।

एआई सिस्टम के लिए भी बढ़ सकता है खतरा
यह तकनीक केवल ईमेल फिल्टर के लिए चुनौती नहीं है। ऐसे छिपे हुए कैरेक्टर्स एआई और लार्ज लैंग्वेज मॉडल्स (LLMs) के लिए भी जोखिम पैदा कर सकते हैं। एलएलएम कई परिस्थितियों में यूजर के सीधे निर्देश और ईमेल, डॉक्यूमेंट या वेब पेज जैसे बाहरी स्रोत से प्राप्त कंटेंट के बीच स्पष्ट अंतर नहीं कर पाते। ऐसे में छिपे हुए कंटेंट का इस्तेमाल प्रॉम्प्ट इंजेक्शन जैसे हमलों के लिए किया जा सकता है।

Unicode Tags ब्लॉक का इस्तेमाल
माइक्रोसॉफ्ट के मुताबिक, इस तरह के दुरुपयोग में Unicode Tags ब्लॉक (U+E0000 से U+E007F) महत्वपूर्ण है। इसमें प्रिंटेबल ASCII कैरेक्टर्स की एक तरह की शैडो कॉपी मौजूद होती है। यह यूनिकोड ब्लॉक मूल रूप से लैंग्वेज टैगिंग के लिए बनाया गया था, लेकिन इसका इस्तेमाल अब काफी हद तक अप्रचलित माना जाता है। साइबर अपराधी इसी तरह के कैरेक्टर्स का फायदा उठाकर सामान्य दिखने वाले टेक्स्ट को सिक्योरिटी सिस्टम की नजर में अलग रूप दे सकते हैं।

फरवरी 2026 से सामने आए ऐसे हमले
माइक्रोसॉफ्ट के अनुसार, इस तकनीक का इस्तेमाल करने वाले हमले फरवरी 2026 की शुरुआत में सामने आए थे। इससे पहले फोर्ट्रा इंटेलिजेंस एंड रिसर्च की विशेषज्ञ टीम ने सितंबर 2025 में इस तरह के कैंपेन को लेकर जानकारी साझा की थी। फोर्ट्रा के मुताबिक, कैंपेन में केवल यूनिकोड तकनीक ही नहीं, बल्कि अलग-अलग नकली या इम्परसोनेटेड डोमेन के अनुरूप तेजी से तैयार की गई विश्वसनीय दिखने वाली फिशिंग वेबसाइटों का भी इस्तेमाल किया जा रहा था।

एआई से तेजी से तैयार हो रही फिशिंग वेबसाइटें
रिपोर्ट के अनुसार, थ्रेट एक्टर्स एआई-पावर्ड मार्केटिंग ऑटोमेशन जैसे फीचर्स का इस्तेमाल कर फिशिंग कैंपेन के डिजाइन, कंटेंट और यूजर फ्लो में तेजी से बदलाव कर रहे थे। इससे हमलावर कम समय में अलग-अलग वेबसाइट और कैंपेन तैयार कर सकते हैं और उन्हें अलग-अलग नकली डोमेन के अनुरूप ढाल सकते हैं। यानी एआई और ऑटोमेशन का इस्तेमाल अब साइबर अपराधी भी फिशिंग अभियानों को अधिक प्रभावी बनाने के लिए कर रहे हैं।

यूजर्स कैसे रहें सुरक्षित?
संदिग्ध ईमेल में मौजूद लिंक पर तुरंत क्लिक न करें।
बैंकिंग, पेमेंट, अकाउंट वेरिफिकेशन और वित्तीय ऑफर से जुड़े ईमेल में विशेष सावधानी बरतें।
लिंक पर क्लिक करने के बजाय संबंधित कंपनी की आधिकारिक वेबसाइट या ऐप को सीधे खोलकर जानकारी जांचें।
ईमेल का टेक्स्ट सामान्य दिखाई दे रहा हो, तो भी उसे पूरी तरह सुरक्षित न मानें।
किसी ईमेल में पासवर्ड, OTP, बैंकिंग डिटेल या अन्य संवेदनशील जानकारी मांगने पर पहले उसकी प्रामाणिकता जांचें।
अनजान या संदिग्ध ईमेल को रिपोर्ट कर डिलीट करें।