ASCII Smuggling क्या होती है? Invisible Unicode से Phishing Fraud का नया खतरा

ASCII Smuggling Attack Explained: साइबर सुरक्षा की दुनिया में हर कुछ महीनों में कोई नई तरकीब सामने आती है, और 2026 में सबसे ज्यादा चर्चा में रहने वाली तरकीबों में से एक है 'ASCII स्मगलिंग'। यह कोई पुराना, घिसा-पिटा फिशिंग (phishing) तरीका नहीं, बल्कि यह असल में AI सिस्टम को धोखा देने के लिए बनाई गई एक तकनीक थी, जिसे अब साइबर अपराधियों ने आम ईमेल फिशिंग में भी इस्तेमाल करना शुरू कर दिया है। हाल ही में माइक्रोसॉफ्ट ने इसी तकनीक का इस्तेमाल करने वाला एक बड़ा फिशिंग अभियान पकड़ा, जो एक दिन में 23 लाख 70 हजार तक ईमेल भेज रहा था। आइए समझते हैं यह तकनीक असल में है क्या, और इससे खुद को कैसे बचाया जाए।

ASCII स्मगलिंग असल में है क्या?

ASCII स्मगलिंग एक ऐसी तकनीक है, जिसमें अदृश्य या 'न दिखने वाले' यूनिकोड कैरेक्टर (डिजिटल टेक्स्ट के बुनियादी कोड) का इस्तेमाल करके किसी सामान्य दिखने वाले टेक्स्ट के भीतर कोई छिपा हुआ संदेश या निर्देश डाल दिया जाता है। यह "टैग्स ब्लॉक" नाम के एक खास यूनिकोड रेंज (U+E0000 से U+E007F) का इस्तेमाल करती है, जिसे मूल रूप से भाषा को टैग करने के लिए बनाया गया था। लेकिन अब यह लगभग इस्तेमाल से बाहर हो चुका है, इसीलिए हैकर्स ने इसे अपने मकसद के लिए दोबारा इस्तेमाल करना शुरू कर दिया है।

इसे आसान भाषा में समझें। यह ऐसे अक्षर होते हैं जो आपकी स्क्रीन पर बिल्कुल नहीं दिखते, यानी आपकी आंखों के लिए वे मौजूद ही नहीं होते। लेकिन कंप्यूटर सिस्टम या AI मॉडल उन्हें पढ़ और समझ सकते हैं। यही खासियत इसे इतना खतरनाक बनाती है, क्योंकि इंसान को टेक्स्ट बिल्कुल सामान्य और साफ-सुथरा दिखता है, जबकि पर्दे के पीछे कुछ और ही चल रहा होता है।

यह तकनीक शुरुआत में हैकिंग के लिए नहीं, बल्कि AI सुरक्षा शोधकर्ताओं ने ही इसे खोजा था, यह दिखाने के लिए कि कैसे कोई हमलावर किसी वेबपेज या दस्तावेज में छिपे, अदृश्य निर्देश डालकर किसी AI असिस्टेंट को धोखा दे सकता है। ताकि वह डेटा लीक कर दे या कोई अनचाहा काम कर बैठे। यानी यह पहले 'AI प्रॉम्प्ट इंजेक्शन' के शोध की दुनिया से निकली एक तकनीक थी, जो अब सीधे आम फिशिंग ईमेल तक पहुंच चुकी है।

असली फिशिंग हमले में यह कैसे काम करती है?

माइक्रोसॉफ्ट के सुरक्षा शोधकर्ताओं ने पाया कि हमलावर इस तकनीक का इस्तेमाल एक बेहद चालाक तरीके से कर रहे थे। ईमेल स्पैम फिल्टर आमतौर पर कुछ खास शब्दों, जैसे "फंडिंग", "लोन" या "क्रेडिट" को पहचानकर संदिग्ध ईमेल को स्पैम फोल्डर में भेज देते हैं। हमलावरों ने इन्हीं शब्दों के बीच अदृश्य यूनिकोड टैग कैरेक्टर डालना शुरू कर दिया, जैसे "फंडिंग" शब्द को "फन[अदृश्य कैरेक्टर]डिंग" जैसा बना दिया गया।

नतीजा यह होता है कि जब कोई इंसान ईमेल पढ़ता है, तो उसे वही सामान्य शब्द "फंडिंग" ही नजर आता है, क्योंकि वे अदृश्य कैरेक्टर स्क्रीन पर दिखते ही नहीं। ल जब ईमेल का सुरक्षा सिस्टम उस शब्द को स्कैन करता है, तो उसे "फंडिंग" की बजाय एक टूटा-फूटा, अपरिचित शब्द नजर आता है, जिसे वह खतरनाक शब्दों की सूची से मिला नहीं पाता, और इस तरह ईमेल आसानी से फिल्टर को चकमा देकर सीधे इनबॉक्स में पहुंच जाता है।

माइक्रोसॉफ्ट के मुताबिक यह पूरा अभियान सैकड़ों अस्थायी, वित्तीय विषयों पर आधारित डोमेन (जैसे बिजनेस लोन, क्रेडिट लाइन और एडवांस फंडिंग से जुड़े नाम) से चलाया जा रहा था, और इसका करीब 96 प्रतिशत हिस्सा एक असली, वैध ईमेल-मार्केटिंग प्लेटफॉर्म के जरिए भेजा जा रहा था, ताकि यह और भी भरोसेमंद दिखे। यह दिखाता है कि हमलावर अब सिर्फ तकनीक ही नहीं, बल्कि असली, प्रतिष्ठित प्लेटफॉर्म की साख का भी दुरुपयोग करने में माहिर हो चुके हैं।

यह पैटर्न में क्यों चलता था, और कैसे पकड़ा गया?

एक दिलचस्प बात यह भी सामने आई कि यह पूरा फिशिंग अभियान एक तय, साप्ताहिक पैटर्न में चलता था। यह हफ्ते के दिनों में तेजी से सक्रिय रहता, वीकेंड पर लगभग पूरी तरह शांत हो जाता, और फिर सोमवार को दोबारा पूरी रफ्तार से शुरू हो जाता। ठीक वैसे ही जैसे कोई असली, संगठित बिजनेस ऑपरेशन काम करता हो। यह पैटर्न फरवरी 2026 में अपने चरम पर पहुंचा, जब एक ही दिन में लगभग 23 लाख 70 हजार ईमेल भेजे गए।

दिलचस्प बात यह भी है कि खुद यही तकनीक हमलावरों के लिए एक कमजोरी भी बन गई। क्योंकि सामान्य ईमेल में इस तरह के अदृश्य टैग कैरेक्टर का इस्तेमाल बेहद दुर्लभ है, इसलिए इनकी मौजूदगी खुद अपने आप में एक जोरदार संदिग्ध संकेत बन जाती है। यानी जो तकनीक फिल्टर से बचने के लिए बनाई गई थी, वही आखिरकार सुरक्षा टीमों के लिए एक नया, भरोसेमंद पहचान का जरिया बन गई।

एक मजेदार तकनीकी पेच भी सामने आया। माइक्रोसॉफ्ट के शुरुआती डिटेक्शन सिस्टम में एक "फॉल्स पॉजिटिव" यानी गलत अलार्म की समस्या आई, क्योंकि इंग्लैंड, स्कॉटलैंड और वेल्स के झंडों वाले इमोजी भी असल में इन्हीं अदृश्य टैग कैरेक्टर से बने होते हैं, इसलिए शुरुआत में सिस्टम इन साधारण, हानिरहित इमोजी को भी संदिग्ध मान बैठा।

तो क्या यह सिर्फ फिशिंग ईमेल तक सीमित है?

यह सिर्फ ईमेल तक सीमित नहीं है। यही तकनीक AI चैटबॉट और असिस्टेंट को धोखा देने में भी इस्तेमाल हो सकती है, जिसे "इनडायरेक्ट प्रॉम्प्ट इंजेक्शन" कहा जाता है। इसमें हमलावर किसी वेबपेज या दस्तावेज में अदृश्य निर्देश छिपा देता है, और जब कोई व्यक्ति अपने AI असिस्टेंट से उस पेज या दस्तावेज को पढ़ने या सारांश बनाने के लिए कहता है, तो AI उन छिपे निर्देशों को भी पढ़ लेता है और उन्हें असल यूजर के निर्देश जैसा मान बैठता है, जिससे वह संवेदनशील जानकारी लीक कर सकता है या कोई अनचाहा काम कर सकता है।

यही वजह है कि माइक्रोसॉफ्ट जैसी कंपनियां अब सिर्फ पारंपरिक स्पैम फिल्टर ही नहीं, बल्कि खासतौर पर AI सुरक्षा को ध्यान में रखकर बनाए गए डिटेक्शन सिस्टम भी विकसित कर रही हैं, क्योंकि आने वाले समय में जैसे-जैसे लोग रोजमर्रा के कामों में AI असिस्टेंट का इस्तेमाल बढ़ाएंगे, वैसे-वैसे इस तरह के छिपे हुए हमलों का खतरा भी बढ़ता जाएगा।

खुद को इस तरह के फ्रॉड से कैसे बचाएं?

चूंकि यह तकनीक इतनी बारीक और अदृश्य है, इसलिए इससे बचाव भी थोड़ा अलग तरीके से सोचना पड़ता है, सिर्फ "गलत स्पेलिंग" या "अजीब भाषा" ढूंढने से काम नहीं चलेगा।

1. सिर्फ ईमेल के दिखने पर भरोसा न करें

अगर कोई ईमेल आपके इनबॉक्स में पहुंच गया है, तो इसका मतलब यह नहीं कि वह पूरी तरह सुरक्षित है, क्योंकि स्पैम फिल्टर को चकमा देना अब पहले से कहीं आसान हो चुका है। लोन, फंडिंग, क्रेडिट लाइन या "जल्दी पैसा कमाने" जैसे विषयों पर आए किसी भी अनचाहे ईमेल को हमेशा शक की नजर से देखें, चाहे वह इनबॉक्स में ही क्यों न आया हो।

खासतौर पर अगर कोई ईमेल छोटे बिजनेस लोन, सरकारी योजना से जुड़ी फंडिंग, या "जल्दी अप्रूवल" का वादा कर रहा हो, तो यह अक्सर सबसे ज्यादा निशाना बनाई जाने वाली श्रेणी है, क्योंकि ऐसे ईमेल में भावनात्मक जल्दबाजी और लालच, दोनों का इस्तेमाल किया जाता है।

2. भेजने वाले का असली ईमेल एड्रेस बारीकी से जांचें

सिर्फ भेजने वाले का नाम देखकर भरोसा न करें, बल्कि पूरा ईमेल एड्रेस खोलकर देखें। हमलावर अक्सर ऐसे डोमेन इस्तेमाल करते हैं जो असली कंपनी के नाम से काफी हद तक मिलते-जुलते तो होते हैं, लेकिन असल में पूरी तरह अलग और अस्थायी होते हैं। अगर कोई ईमेल किसी बड़े, भरोसेमंद ईमेल-मार्केटिंग प्लेटफॉर्म के जरिए भेजा गया लगे (जैसे किसी मार्केटिंग सर्विस का सर्वर एड्रेस), फिर भी असली भेजने वाली कंपनी की पहचान अलग से जरूर जांचें, क्योंकि जैसा माइक्रोसॉफ्ट के शोध में सामने आया, हमलावर अक्सर वैध प्लेटफॉर्म का सहारा लेकर ही अपनी साख बढ़ाते हैं।

3. किसी भी लिंक पर क्लिक करने से पहले माउस से होवर करें

ज्यादातर ईमेल क्लाइंट में, लिंक पर क्लिक किए बिना सिर्फ उस पर माउस ले जाने से असली URL नीचे या किसी टूलटिप में दिख जाता है। अगर वह लिंक किसी अनजान, अजीब या डोमेन नाम से भरा हुआ पता दिखाए, तो उस पर क्लिक बिल्कुल न करें।

4. अपने ईमेल और सुरक्षा सॉफ्टवेयर को हमेशा अपडेट रखें

चूंकि यह तकनीक अपेक्षाकृत नई है, इसलिए बड़ी टेक कंपनियां लगातार अपने डिटेक्शन सिस्टम को इसे पहचानने के लिए अपडेट कर रही हैं। पुराना, अपडेट न किया गया ईमेल सिस्टम या एंटीवायरस इन नई तकनीकों को पहचानने में सक्षम नहीं हो सकता, इसलिए नियमित अपडेट बेहद जरूरी है। माइक्रोसॉफ्ट के शोधकर्ताओं ने खुद यह सलाह दी है कि किसी भी टेक्स्ट को कीवर्ड, सिग्नेचर या पैटर्न के आधार पर जांचने से पहले, उसमें से अदृश्य और गैर-प्रदर्शित यूनिकोड कैरेक्टर हटाना या "सामान्य" बनाना जरूरी है, यह तकनीकी सलाह है जो बड़ी कंपनियों के लिए है, लेकिन आम यूजर के तौर पर आपको बस यह समझना काफी है कि कोई भी संदेश "साफ-सुथरा" दिखने का मतलब यह नहीं कि उसमें कुछ छिपा नहीं है।

5. भावनात्मक जल्दबाजी में कोई फैसला न लें

फिशिंग ईमेल हमेशा किसी न किसी तरह की जल्दबाजी या डर का सहारा लेते हैं, जैसे "अभी अप्लाई करें, ऑफर सिर्फ आज के लिए है" या "आपका अकाउंट ब्लॉक होने वाला है"। अगर कोई ईमेल आपको तुरंत, बिना सोचे-समझे कोई कदम उठाने के लिए उकसा रहा है, तो यह अपने आप में एक बड़ा खतरे का संकेत है, चाहे उसमें कोई तकनीकी ट्रिक इस्तेमाल हुई हो या न हुई हो।

आखिर में समझने वाली बात

ASCII स्मगलिंग यह दिखाती है कि साइबर सुरक्षा की दुनिया कितनी तेजी से बदल रही है, कल तक जो तकनीक सिर्फ AI मॉडल को धोखा देने के लिए बनाई गई थी, आज वह लाखों आम लोगों तक पहुंचने वाले फिशिंग ईमेल में इस्तेमाल हो रही है। इसकी सबसे बड़ी खासियत, और सबसे बड़ा खतरा भी यही है कि यह इंसानी आंखों से पूरी तरह छिपी रहती है। इसलिए इससे बचने का सबसे भरोसेमंद तरीका किसी खास तकनीकी ट्रिक को पहचानना नहीं, बल्कि हर अनचाहे, वित्तीय ईमेल को शक की नजर से देखना, भेजने वाले की पहचान बारीकी से जांचना, और जल्दबाजी में कोई फैसला न लेना है।