Beveiligingsonderzoekers van Barracuda hebben meer dan een miljoen phishingmails met een retail-thema aangetroffen waarin aanvallers onzichtbare tekst verstoppen. De techniek, bekend als text salting, is bedoeld om zowel traditionele spamfilters als AI-gebaseerde detectiesystemen te misleiden. Volgens het bedrijf wint de methode aan populariteit doordat generatieve AI het genereren van unieke afleidende tekst goedkoop en schaalbaar maakt.
Onderzoekers van Barracuda hebben een oude ontwijkingstechniek opnieuw op grote schaal aangetroffen in phishingcampagnes. Bij de zogeheten text salting-methode verbergen aanvallers grote hoeveelheden willekeurige tekst in een e-mail, onzichtbaar voor de ontvanger maar wel leesbaar voor scansystemen. Het bedrijf onderzocht ruim een miljoen aanvallen met een retail-thema waarin deze techniek werd toegepast.
Werking van text salting
De techniek is erop gericht securitytools te omzeilen door verdachte trefwoorden te laten opgaan in grote hoeveelheden onschuldige tekst. Voor de ontvanger blijft deze content onzichtbaar, terwijl e-mailscanners de tekst wel verwerken. Volgens Barracuda vermindert dit de impact van woorden die detectiesystemen doorgaans laten aanslaan, zoals ‘dringend’, ‘beloning’ of ‘verlopen’.
De onderzoekers troffen verschillende varianten aan. Zo werd het zichtbare weergavevenster met 100 procent verkleind of tekst zo ver ingesprongen dat deze buiten beeld viel. Ook zagen ze tekst met een fontgrootte van nul, en HTML-streams die met niet-standaard termen werden opgeknipt om filters te omzeilen die zoeken naar exacte zinsdelen. Een voorbeeld dat het bedrijf noemt: de zin ‘Uw wachtwoord is verlopen’ wordt in de HTML-code onderbroken door onzichtbare tekst, waardoor scanners die op de exacte zin zoeken niet aanslaan.
De verborgen content bestond volgens de onderzoekers vaak uit willekeurige verhalen, alledaagse gesprekken of aantekeningen met neutrale of positieve woorden als puppy, training, notities, taak, ritme of boek. Het zichtbare bericht bevat daarentegen een lokboodschap met een retail-thema, bijvoorbeeld over verlopende beloningen, spaarpunten of cadeaubonnen.
Kwetsbaarheid van AI-detectie
Barracuda meldt dat text salting weliswaar al langer bestaat als omzeilingstechniek, maar dat het gebruik ervan toeneemt nu organisaties overstappen op AI-gebaseerde e-mailsecurity en Large Language Models. Pranati Sethi, Senior Threat Analyst bij Barracuda, stelt dat technieken met verborgen tekst een sterke terugkeer maken in het AI-tijdperk. Volgens Sethi manipuleren deze methoden de manier waarop zowel traditionele als AI-gebaseerde tools e-mails interpreteren, en maakt generatieve AI het aanvallers eenvoudig om doorlopend unieke, natuurlijk klinkende tekst te produceren voor dit soort campagnes.
Het bedrijf wijst erop dat LLM’s e-mails beoordelen op basis van de volledige inhoud, inclusief context en sentiment. Omdat verborgen tekst hierbij even zwaar meeweegt als de zichtbare phishingboodschap, kan een AI-systeem een e-mail ten onrechte als veilig bestempelen. Doordat generatieve AI het bovendien mogelijk maakt om voor iedere e-mail andere tekst te genereren, is detectie op basis van vaste patronen volgens Barracuda nauwelijks houdbaar.
Aanbevelingen
Barracuda adviseert organisaties om niet uitsluitend te vertrouwen op trefwoorddetectie of AI-tekstanalyse. Het bedrijf noemt vier aanvullende controles: het beoordelen van afzenderreputatie en authenticatieresultaten via DMARC, SPF en DKIM, het detecteren van structurele afwijkingen in de e-mailopmaak zoals verborgen HTML en lettergrootte nul, gedragsanalyse gericht op afwijkende patronen, en doorlopende security awareness-trainingen zodat medewerkers verdachte kenmerken als urgente verzoeken of ongebruikelijke aanbiedingen zelf herkennen en melden.
