Bir e-posta, ekranda bütünüyle normal görünürken kaynak kodunda görünmeyen karakterler taşıyabilir. Bu artık yalnızca yapay zekâ sistemlerini kandırmaya yarayan deneysel bir numara değil. Microsoft Security Research, 3 Eylül 2026 tarihli incelemesinde Unicode’un görünmeyen etiket karakterlerinin yüksek hacimli bir kimlik avı kampanyasında filtrelerden kaçmak için kullanıldığını açıkladı. Kullanıcının gördüğü “funding” gibi bir sözcük, sistemin işlediği ham metinde görünmez bir karakterle ikiye bölünebiliyor.
Bu bulgu, tek başına “şüpheli kelime” arayan kuralların neden yeterli olmadığını gösteriyor. Türkiye’de KOBİ kredisi, hızlı finansman, e-fatura ve banka bildirimi temalı iletiler sık kullanıldığı için mesele kurumsal güvenlik ekipleri kadar bireysel kullanıcıları da ilgilendiriyor. İyi haber şu: Saldırı görünmez olsa da davranış izleri görünür.
ASCII smuggling nedir?
Adında ASCII geçse de teknik, Unicode Tags bloğundaki U+E0000–U+E007F aralığından yararlanıyor. Bu kod noktalarının çoğu yaygın yazı tiplerinde çizilmiyor; yani insan gözü ekranda bir boşluk bile fark etmeyebilir. Buna karşılık e-posta filtresi, metin sınıflandırıcısı veya bir yapay zekâ asistanı ham karakter dizisini işler.
Teknik 2025 boyunca özellikle istem enjeksiyonu çalışmalarında tanındı. Bir web sayfasına ya da belgeye görünmeyen talimatlar ekleniyor; insan bunları görmüyor, içerikle beslenen model ise okuyabiliyordu. Microsoft’un yeni araştırmasındaki kullanım farklı: İncelenen kampanyada görünmez karakterler bir modele komut vermek için değil, finans temalı yem sözcüklerini parçalamak için yerleştirildi.
Görünen sözcük ile işlenen sözcük neden farklı?
Görünmeyen karakterler, ekranda okunan metin ile güvenlik sisteminin değerlendirdiği ham metin arasında fark oluşturabilir. Savunma açısından önemli olan, metnin sınıflandırılmadan önce tutarlı biçimde normalleştirilmesi ve olağandışı karakterlerin inceleme kayıtlarında görünür olmasıdır. Böylece karar yalnızca görünen bir sözcüğe dayanmaz.
Microsoft ne gözlemledi?
Microsoft telemetrisinde ilgili av imzası 9 Şubat 2026’da yaklaşık 21 bin iletiden 1,3 milyonun üzerine çıktı. 11 Şubat’ta 2,3 milyonu aştı; hafta içi hacmi 1 ile 2,37 milyon arasında seyretti ve 26 Şubat’ta zirve yaptı. Yüksek hacimli dönem 15 Mayıs’tan sonra sert biçimde geriledi, ancak haziran ortasına kadar düşük seviyeli izler sürdü.
Bu sayılar bütün kimlik avı trafiğini değil, Microsoft’un tanımladığı belirli görünmez karakter imzasıyla eşleşen iletileri anlatıyor. Araştırmacılar mesajların çoğunun yaklaşık 150 finans temalı gönderici alan adıyla kümelendiğini ve haftanın iş günlerinde çalışıp hafta sonu neredeyse durduğunu belirtiyor. Microsoft ayrıca iletilerin yüzde 99’dan fazlasının yalnız bu işarete bağlı olmayan, itibar, bağlantı, kimlik doğrulama ve makine öğrenmesi gibi katmanlarca da yakalandığını bildiriyor.
Kullanıcı bir dakikada neyi kontrol etmeli?
Görünmez karakteri çıplak gözle bulmaya çalışmak verimsizdir. Bunun yerine mesajın davranışına bakın:
- Beklemediğiniz kredi, finansman veya ödeme teklifini gönderen alan adını harf harf okuyun.
- “Hemen başvur”, “limitiniz hazır” gibi baskı kuran çağrılarda bağlantıya dokunmayın.
- Gösterilen marka alan adı ile bağlantının gerçek hedefini karşılaştırın; kısaltılmış veya takip amaçlı adresler kararı zorlaştırır.
- Yanıt vermek yerine kurumun uygulamasını ya da adres çubuğuna kendiniz yazdığınız resmi siteyi açın.
- İleti bir dosya çalıştırmanızı, terminal komutu kopyalamanızı veya uzaktan erişim vermenizi istiyorsa işlemi kesin. Benzer sosyal mühendislik adımları için Teams üzerinden sahte BT desteği rehberine bakın.
Kurumlar için uygulanabilir test
Güvenlik ekibi, posta geçidinin resmî test araçları ve mevcut olay kayıtları üzerinden normalleştirme davranışını denetleyebilir. Geçit, arşiv, DLP ve SIEM kayıtlarında ham metnin korunup korunmadığını, görünmeyen karakterlerin incelemeciye gösterilip gösterilmediğini ve ilgili alarmın oluşup oluşmadığını kontrol edin. Yapay zekâyla özetlenen e-postalarda da kaynak içeriğin talimat olarak ele alınmadığını doğrulayın.
Microsoft’un önerdiği temel ilke “eşleştirmeden önce normalleştir” yaklaşımıdır. Konu ve gövde metni imza, düzenli ifade ya da sınıflandırıcıya girmeden önce görünmeyen Unicode karakterleri ayıklanmalı veya standart biçime dönüştürülmelidir. Ancak İngiltere, İskoçya ve Galler bayrak emojilerinin de etiket karakterleri kullandığı unutulmamalı; kaba bir engel kuralı yanlış pozitif üretebilir.
Kontrol listesi
- U+E0000–U+E007F aralığını konu ve gövdede görünür kılan bir inceleme aracı kullanın.
- Normalleştirmeyi anahtar kelime ve model değerlendirmesinden önce uygulayın.
- Tek karakteri kesin hüküm saymayın; gönderici, URL ve kimlik doğrulama sonuçlarıyla birleştirin.
- E-posta içeriğini okuyan yapay zekâ ajanlarına en az yetki verin.
- Kullanıcıya yalnız “şüpheli kelime” değil, doğrulanabilir davranış işaretlerini öğretin.
Türkiye’de neden önemli?
Türkçe ekler, farklı alfabeler ve çok dilli iş yazışmaları normalleştirmeyi daha hassas hâle getirir. Güvenlik ürünü görünmeyen karakterleri ayıklarken Türkçe “İ/ı” dönüşümünü, alan adı gösterimini veya meşru Unicode içeriğini bozmamalı. Bu nedenle hazır bir kuralı doğrudan üretime almak yerine Türkçe örneklerle ölçmek gerekir.
Sonuç basit: Ekranda normal görünmesi, metnin gerçekten normal olduğu anlamına gelmiyor. Kullanıcı için en güvenli alışkanlık bağımsız kanaldan doğrulama; kurum için en güçlü savunma ise normalleştirme, itibar ve davranış sinyallerini birlikte kullanmak.
