Unicode

นักวิจัยจาก Have I Been Squatted พบ 2 กรณีขอบในการตรวจชื่อโดเมนสากล (IDN) ของ Chromium ที่ทำให้โดเมนหน้าตาเหมือนแบรนด์ดังแสดงเป็นตัวอักษรปกติแทน Punycode และไม่มีคำเตือนโดเมนคล้าย ตัวอย่างคือ аррӏө.com ที่เลียนแบบ apple.com และ oƙta.com ที่เลียนแบบ okta.com ซึ่งเปิดได้บน Chrome 154 พร้อมใบรับรองที่ถูกต้อง ในการทดสอบอีเมล Gmail แสดงโดเมนทั้ง 20 ชื่อเป็นตัวอักษรปกติทั้งหมด ผลทดสอบนี้ไม่ได้รวม Safe Browsing หรือการตรวจชื่อเสียงโดเมน จึงไม่ใช่การหลบระบบกันฟิชชิงทุกชั้น

Microsoft เตือนแคมเปญฟิชชิงปริมาณสูงที่ใช้อักขระแท็ก Unicode ซึ่งมองไม่เห็นเพื่อหลบตัวกรองอีเมล โดยแทรกอักขระเหล่านั้นกลางคำล่อทางการเงินอย่าง funding เพื่อไม่ให้ตัวกรองจับคำได้ ขณะที่ผู้รับยังอ่านข้อความได้ตามปกติ เทคนิคนี้เดิมถูกใช้ซ่อนคำสั่งจากคนแต่ให้โมเดล AI อ่านเห็น แคมเปญนี้ส่งอีเมลวันธรรมดาสูงถึง 1 ถึง 2.37 ล้านฉบับ และเชื่อมโยงกับปฏิบัติการที่ใช้แพลตฟอร์ม ActiveCampaign ส่งอีเมลฟิชชิงที่สร้างด้วย AI