La technique ZeroFont (ou de la fonte zéro, en french) est une technique à la fois subtile et basique, employée depuis longtemps, puis oubliée, puis remise au goût du jour pour contrer les plus performants des outils de lutte contre la cybercriminalité, notamment contre le phishing.

Quel intérêt ?

Le principe est d’inclure dans un document du texte dont la taille de fonte est zéro. Ainsi, on obtient un texte visible différent du texte codé informatiquement dans le fichier concerné (en général un mail).

Basiquement

Dans le temps, ça pouvait à la rigueur permettre de passer des informations « secrètes » dans un fichier d’apparence anodine, mais ça ne mène pas très loin et cela ne peut tromper qu’un contrôle visuel réalisé par un humain. Je ne crois pas que cela ait beaucoup servi.

Subtilement

Ce qui était bourrin en son temps est devenu subtil plus tard, à l’ère de l’intelligence artificielle et des contrôles informatiques à profusion. Aujourd’hui, de nombreux outils de sécurité, dont le filtre antispam de Microsoft pour son produit Office 365, utilisent de l’analyse de texte en langage naturel, afin de déceler des anomalies dans le texte d’un message de mail, par exemple : si le contenu prétend provenir d’Apple et que l’adresse mail utilisée n’a rien à voir, la suspicion de phishing augmente !

Or si vous insérez des caractères invisibles à l’œil nu un peu partout dans un mail de phishing, alors le contenu du mail n’aura aucun sens mais le destinataire du mail lui verra ce que le pirate veut bien qu’il voie !

(illustration)

Une variante

D’autres méthodes peuvent tromper les robots anti-spam : une police spéciale dont les lettres sont dans le désordre. Ainsi un caractère A affiche S (par exemple), B affiche D, etc. Le texte est illisible (ou anodin) pour un robot mais un lecteur humain verra tout autre chose¹… Malin !

Source

• https://www.avanan.com/resources/zerofont-phishing-attack