Barracuda: Eén phishing-e-mail richt zich nu zowel op de ontvanger als op de AI in hun inbox

Op 7 oktober 2026 publiceerde Barracuda Research een analyse van een phishingcampagne die was ontworpen om twee lezers met hetzelfde bericht te raken: degene die het ontvangt, en de AI-assistent die hun inbox samenvat. De mensgerichte helft is niets bijzonders — een met een wachtwoord beveiligde bijlage waarvan het wachtwoord in de tekst staat, een combinatie waarvan Barracuda zegt dat die "een blinde vlek creëert voor traditionele e-mailbeveiligingsmaatregelen." De tweede helft is nieuw. Verborgen in dezelfde e-mail — in HTML-commentaar, CSS-onsichtbare tekst, Base64-gecodeerde blokken en zero-width tekens — staan instructies die gericht zijn op welk model de mail dan ook parseert, bedoeld om de assistent "de phishingmail als legitiem of urgent te laten presenteren" of om hem zelfstandig te laten handelen.

Barracuda zegt dat het onderzochte monster was vermomd als routine interne correspondentie en een vertrouwde spamscore had, en dat het afkomstig was van een domein uit de publieke sector. Het archief vermeldt geen bevestigd slachtoffer en geen gemelde schade: dit is een onderzoeksbevinding over een aanvalspatroon, niet een onthulling van een gecompromitteerde organisatie. Barracuda maakte de omvang van de campagne niet bekend, en noch Infosecurity Magazine noch The Hacker News — die beide over het onderzoek berichtten — was in staat een cijfer toe te voegen.

Wat Barracuda daadwerkelijk heeft gepubliceerd

Het artikel is een blogpost van een leverancier over dreigingsonderzoek, getiteld "Threat Spotlight: E-mailaanvallen richten zich in hetzelfde bericht op zowel mensen als AI", en staat op naam van Guruprasad Kenja, die wordt beschreven als dreigingsanalist bij Barracuda. Het is gedateerd op 7 oktober 2026 in het URL-pad en draagt een stempel "Bijgewerkt: 6 okt. 2026" op de pagina zelf; het nieuwsbericht van Infosecurity Magazine, door Alessandro Mascellino, is gedateerd op 7 oktober en de ThreatsDay-roundup bij The Hacker News, gepubliceerd op 8 oktober, linkt naar dezelfde blogpost van Barracuda. Het verschil van één dag tussen de URL-datum en de stempel op de pagina is van Barracuda zelf en wordt door geen van de drie verklaard.

Barracuda's framing is dat de assistent een tweede aanvalsoppervlak is geworden. In zijn woorden "moeten organisaties niet alleen gebruikers en inboxen beveiligen, maar ook de AI-systemen die e-mailgegevens consumeren en erop handelen." Het onderzoek beschrijft één bericht met twee payloads in plaats van een nieuw exploit: de conventionele social-engineeringlok is wat een filter is gebouwd om te onderscheppen, en de prompt injection staat waar een filter historisch gezien niet heeft gekeken.

Het sample: gebouwd om te slagen voor de reputatiechecks

Barracuda noemt drie eigenschappen van het bericht die er volgens zijn beschrijving toe hebben bijgedragen dat het door op reputatie gebaseerde filtering heen glipte:

• Het Van- en Aan-adres waren hetzelfde postvak, dus het bericht kwam over als een notitie aan zichzelf in plaats van als externe e-mail.

• Het had een betrouwbare spamconfidence-score.

• Het is afkomstig uit een overheidsdomein.

Barracuda noemt het domein van de publieke sector niet, zegt niet of dat domein de echte oorsprong van het bericht was of een gespoofd domein, en geeft geen datum waarop het bericht werd waargenomen. Die leemtes zijn van belang voor iedereen die probeert te beoordelen hoe dicht de campagne bij succes stond, en het zijn leemtes in de primaire bron, niet iets dat een andere nieuwsorganisatie heeft opgevuld.

De verborgen helft: vier manieren waarop de instructies worden binnengesmokkeld

Barracuda noemt vier technieken als de technieken die het vaak tegenkomt. Alle vier berusten op dezelfde asymmetrie: een e-mailclient geeft een bericht op één manier weer, terwijl het model dat de ruwe bron leest alles ziet wat de client verborg.

Elk item in die lijst is een beschrijving van een drager, niet van een effect, en Barracuda is duidelijk dat de injecties bedoeld zijn om op de assistent te werken in plaats van op de persoon. De type-tag van het record is IPI — indirecte promptinjectie — de standaardterm voor instructies die binnenkomen in inhoud die een model wordt gevraagd te verwerken, in plaats van dat ze door zijn gebruiker worden getypt.

Wat de injecties moesten doen

Barracuda's beschrijving van de doelen van de payload verloopt langs twee sporen. Het zachtere spoor probeert de samenvatting te buigen: als de mens de bijlage negeert, is de verborgen tekst bedoeld om de assistent het bericht als legitiem of urgent te laten beschrijven, waardoor de ontvanger wordt aangespoord om te openen en te klikken. Barracuda zegt dat geen van deze instructies zichtbaar zijn voor de gebruiker. Het hardere spoor probeert de assistent tot de actor te maken — door het te instrueren "negeer zijn eerdere aanwijzingen" en in plaats daarvan een dringend verzoek te sturen om geld over te maken, gegevens te lekken of een valse dringende actie naar voren te brengen.

De bijgaande praktijkvoorbeelden die Barracuda aanhaalt, tonen hetzelfde mechanisme toegepast op andere door AI gemedieerde workflows:

• Een factuur-e-mail met een verborgen tekstblok dat het samenvattende model opdraagt een valse prioriteitsactie toe te voegen waardoor de betalingsgegevens van de leverancier worden gewijzigd, en een medewerker ertoe aanzet geld naar de aanvaller over te schrijven.

• Een cv waarvan de verborgen tekst een AI-screeningstool opdraagt de sollicitant een 10 op 10 te geven en ongeacht de kwalificaties een onmiddellijk sollicitatiegesprek aan te bevelen.

• Een verzoek dat wordt gepresenteerd als een geautoriseerde "onderhouds- of beheerdersmodus" en waarin een supportbot wordt gevraagd zijn eigen configuratie te onthullen.

• Vergiftigde documentatie op een pagina die een codeassistent leest, met de instructie om elke keer dat hij authenticatiecode genereert een regel voor het exfiltreren van inloggegevens in te voegen.

Deze worden beschreven als voorbeelden van de techniek, niet als bevestigde inbreuken. Niets in het bericht van Barracuda zegt dat een samenvattend model, een screeningstool, een supportbot of een codeassistent daadwerkelijk heeft meegewerkt in een echte implementatie, en het archief registreert real_harm als false.

Wat is vastgesteld, en wat niet

Het onderscheid is hier belangrijker dan in de meeste incidentverslagen, omdat het verslag een ontwerp beschrijft in plaats van een uitkomst.

• Vastgesteld: Barracuda Research onderzocht een phishingcampagne die een met een wachtwoord beveiligde bijlage combineerde met verborgen promptinjectie in hetzelfde bericht, en publiceerde de analyse op 7 oktober 2026. De vier verhullingstechnieken en de vier gebruiksvoorbeelden worden in dat bericht vermeld. Twee onafhankelijke media — Infosecurity Magazine en The Hacker News — berichtten over dezelfde bevindingen zonder deze tegen te spreken, daarom is de betrouwbaarheid van de vermelding beoordeeld als A.

• Niet vastgesteld: of een assistent daadwerkelijk is gekaapt, hoeveel berichten zijn verzonden, wie ze heeft ontvangen, en of er geld is overgemaakt of data is verdwenen. Barracuda weigerde de omvang van de campagne te geven. Geen enkele toezichthouder, slachtofferorganisatie of beveiligingsleverancier heeft een specifieke compromittering bevestigd, en geen enkele met naam genoemde partij is aan het sample gekoppeld.

• Niet betwist: niets in de berichtgeving weerspreekt Barracuda's verslag. De openstaande vragen zijn weglatingen, geen meningsverschillen — en het archief registreert de bevinding niet als betwist.

Het record is geclassificeerd als een onderzoeksbevinding met gemiddelde ernst, met bevestigde AI-betrokkenheid — de AI-assistent is het doel waar de campagne omheen is opgezet, en het is de reden dat het bericht ongewoon is. Het is niet geclassificeerd als een landmark, en er is geen datumbereik: de analyse beschrijft één moment in de tijd, 7 oktober 2026, niet een campagnevenster.

De mitigerende maatregelen die Barracuda aanbeveelt

Het standpunt van Barracuda is dat "geen enkele maatregel elke variant zou stoppen", dus zijn aanbevelingen vormen een gelaagde aanpak in plaats van een oplossing. Het adviseert om verborgen elementen, opmerkingen en onzichtbare tekens uit inhoud te verwijderen voordat die inhoud een AI-systeem bereikt; het detecteren van formuleringen die instructies overschrijven als een signatuur van prompt-injectie; het sandboxen van assistenten zodat hun bereik beperkt is; het valideren van uitvoer voordat een reactie van een assistent een actie activeert; en het vereisen van menselijke goedkeuring bij betalingen, wijzigingen van leveranciers en andere gevoelige beslissingen. Het adviseert ook om te monitoren op herhaalde injectiepogingen, en stelt het onderliggende principe als het behandelen van externe inhoud "altijd alleen als gegevens en gescheiden van instructies".

De post verwijst ook naar Barracuda's eigen producten — Email Gateway Defense, Behavioral AI en Automated Threat Response — als de beheersmaatregelen die het verkoopt voor de kant van filtering en herstel. Dat is een leverancier die zijn eigen catalogus aanbeveelt, en het is de moeite waard om het als zodanig te lezen: de technische aanbevelingen staan los van de producten, maar de post test geen van beide tegen de campagne die hij beschrijft.

Waarom het record het bewaren waard is

De specifieke waarde van dit item is dat het het punt documenteert waarop twee voorheen afzonderlijke verdedigingslinies niet langer hetzelfde bericht dekken. Een met een wachtwoord beveiligde bijlage omzeilt inhoudsscanning omdat de scanner het bestand niet kan openen; een verborgen promptinjectie omzeilt reputatiebeoordeling omdat reputatiebeoordeling naar afzenders kijkt, niet naar wat een taalmodel met de berichttekst zal doen. Zet ze in één e-mail en de faalmodi stapelen zich op: een filter dat het bericht doorlaat op grond van een vertrouwde score, heeft ook de payload doorgelaten die is gericht op alles wat de inbox hierna leest. Het sample van Barracuda is de demonstratie dat deze combinatie niet hypothetisch is.

Dit record — Barracuda's bevinding over dual-target phishing — is één vermelding in het OrcaRouter AI Incident Archive, dat AI-incidenten, onderzoeksbevindingen en evaluaties volgt met dezelfde velden als hierboven: ernst, betrouwbaarheid, betwiste status en reële schade.