Text salting is een ontwijkingstechniek waarbij verdachte woorden en zinnen worden vermengd met willekeurige of onschuldige tekst. De extra inhoud is doorgaans niet zichtbaar voor de ontvanger maar wordt wel verwerkt door spam-filters en AI-gebaseerde beveiligingssystemen.

Aanvallers proberen daarmee de verhouding tussen verdachte en onschuldige termen in een e-mail te veranderen. Een beveiligingssysteem kan het bericht daardoor verkeerd classificeren of minder gewicht geven aan woorden die doorgaans op phishing wijzen.

Volgens Barracuda maakten de onderzochte campagnes gebruik van lokboodschappen over onder meer aflopende spaarpunten, beloningen, aanbiedingen en cadeaubonnen.

De onzichtbare inhoud kan op verschillende manieren aan een e-mail worden toegevoegd. Zo kunnen aanvallers de lettergrootte van tekst op nul zetten, inhoud buiten het zichtbare venster plaatsen of de tekst zo sterk laten inspringen dat de ontvanger ze niet ziet.

Een andere methode bestaat erin woorden en zinnen met onzichtbare tekst te onderbreken. In de HTML-code kan bijvoorbeeld willekeurige tekst worden geplaatst tussen de afzonderlijke delen van het woord "wachtwoord".

Voor de ontvanger blijft de boodschap visueel leesbaar terwijl een beveiligingssysteem dat naar exacte trefwoorden of vaste woordcombinaties zoekt de verdachte term mogelijk niet herkent.

Barracuda stelde ook vast dat aanvallers HTML-structuren opsplitsen met niet-standaard termen. Daarmee proberen ze beveiligingsfilters te omzeilen die werken op basis van bekende patronen en signatures.

De verborgen inhoud bestond volgens de onderzoekers onder meer uit willekeurige verhalen, algemene gesprekken, notities en woorden met een neutrale of positieve betekenis.

Termen zoals "puppy", "training", "boek", "taak" en "ritme" werden gebruikt om de algemene inhoud en het sentiment van de e-mail minder verdacht te laten lijken.

Het zichtbare gedeelte bevatte tegelijk een oproep om snel te handelen. Ontvangers kregen bijvoorbeeld te horen dat hun beloning of spaarpunten binnenkort zouden verlopen.

De combinatie van verborgen neutrale inhoud en een zichtbare urgente boodschap moet zowel traditionele spam-filters als nieuwere AI-systemen beïnvloeden.

Text salting is geen nieuwe techniek maar krijgt volgens Barracuda opnieuw meer aandacht nu organisaties steeds vaker gebruik maken van artificiële intelligentie en large language models voor de analyse van e-mails.

Dergelijke systemen beoordelen doorgaans de volledige inhoud van een bericht. Ze proberen onder meer de context, intentie en het sentiment van de tekst te interpreteren.

Wanneer de verborgen tekst zonder onderscheid wordt meegenomen, kan die de analyse van het zichtbare phishing-bericht beïnvloeden. Het systeem kan de e-mail daardoor als minder risicovol beschouwen dan ze in werkelijkheid is.

Generatieve AI maakt het bovendien eenvoudiger om op grote schaal unieke teksten te produceren. Aanvallers kunnen voor iedere phishing mail andere verborgen alinea’s genereren waardoor detectie op basis van terugkerende tekstpatronen moeilijker wordt.

Barracuda adviseert organisaties om e-mail beveiliging niet uitsluitend te baseren op trefwoorden, signatures of AI-modellen die alleen de inhoud van berichten beoordelen.

Een gelaagde aanpak moet ook rekening houden met technische en gedragsmatige signalen. Daarbij kan onder meer worden gekeken naar de reputatie van de afzender en de resultaten van authenticatieprotocollen zoals DMARC, SPF en DKIM.

Ook afwijkingen in de HTML-structuur kunnen een aanwijzing vormen. Voorbeelden zijn tekst met een lettergrootte van nul, verborgen elementen, ongebruikelijke inspringingen of grote hoeveelheden inhoud die niet zichtbaar zijn in de uiteindelijke e-mail.

Gedragsanalyse kan daarnaast helpen om afwijkingen ten opzichte van normale communicatiepatronen te herkennen. Dat kan gaan om ongebruikelijke verzendmomenten, onbekende domeinen, afwijkende links of dringende verzoeken die niet aansluiten bij eerdere communicatie.

Naast technische beveiliging blijft opleiding van medewerkers relevant. Gebruikers moeten verdachte aanbiedingen, dringende oproepen en onverwachte berichten over beloningen of accountproblemen kunnen herkennen.

Organisaties kunnen medewerkers trainen om links en afzenderadressen te controleren, geen gegevens in te vullen via onverwachte berichten en verdachte e-mails snel te melden aan de IT- of security-afdeling.

Een meldproces kan beveiligings-teams helpen om nieuwe campagnes sneller te onderzoeken en vergelijkbare berichten binnen de organisatie te blokkeren.

Meer info: 03/808.21.63 of http://www.barracuda.com