Nova técnica com CSS pode roubar senhas e tokens em serviços de webmail

Uma nova pesquisa apresentada na Black Hat USA 2026 revelou que falhas na forma como serviços de webmail processam HTML e CSS podem permitir que conteúdos maliciosos escapem dos limites da mensagem e interfiram diretamente na interface do usuário. As técnicas afetam serviços como Microsoft Outlook, Gmail, Fastmail, Proton Mail, Yahoo Mail e AOL Mail, possibilitando desde o roubo de senhas e tokens até o abuso de assistentes de inteligência artificial integrados ao e-mail.

O estudo foi conduzido por Gareth Heyes, pesquisador da PortSwigger, e descreve diversas cadeias de ataque de prova de conceito. Segundo o pesquisador, não há evidências de exploração maliciosa dessas técnicas, embora os códigos de demonstração permaneçam disponíveis publicamente.

Em um dos cenários, envolvendo Outlook e Firefox, a técnica permite exibir uma falsa tela de autenticação da Microsoft capaz de capturar a senha digitada pela vítima. O ataque combina diferentes comportamentos da aplicação, incluindo elementos HTML permitidos, manipulação do DOM pelo JavaScript do Outlook e uma técnica de parsing de consultas de mídia (media queries) que concede ao invasor controle arbitrário sobre regras CSS.

Para tornar a fraude mais convincente, o ataque disfarça um elemento select como um campo de senha. No Firefox, um comportamento específico do navegador permite que a captura da seleção ocorra em tempo real quando esse elemento é movido para fora da área visível da página.

Outra técnica afeta Yahoo Mail e AOL Mail. Nesses casos, durante um curto intervalo após a colagem de conteúdo HTML em um rascunho de e-mail, regras CSS permanecem ativas antes da sanitização completa. Na demonstração apresentada, esse comportamento permite expor parte de um token de autenticação enviado pelo Medium para login por e-mail, possibilitando que um servidor controlado pelo invasor reconstrua o token e acesse a conta da vítima.

Os pesquisadores também apresentaram um método de exfiltração baseado em cliques para contornar restrições impostas por políticas de Content Security Policy (CSP). Em vez de carregar recursos externos diretamente, o CSS identifica quais caracteres de um token aparecem na mensagem, oculta links inválidos e deixa apenas o link correspondente visível. Quando a vítima clica, os dados são enviados ao servidor do atacante.

A pesquisa também explora riscos envolvendo ferramentas de inteligência artificial conectadas ao e-mail. Em um cenário utilizando o Claude Cowork, da Anthropic, integrado ao Gmail, uma técnica de prompt injection indireta faz com que o assistente recupere um token de autenticação do Slack presente em um e-mail e o insira automaticamente em um rascunho HTML. Uma falha relacionada ao tratamento da função image-set() no Gmail permitia que a simples visualização desse rascunho resultasse no vazamento do token.

Outro experimento teve como alvo o navegador com IA Atlas, da OpenAI. Utilizando pseudoelementos CSS e manipulação de opacidade, o pesquisador fez com que usuários enxergassem apenas um texto aparentemente inofensivo, enquanto o modelo de IA interpretava instruções ocultas. Ao solicitar uma tradução do conteúdo, o assistente executava ações adicionais, como abrir abas e incluir informações da vítima em fragmentos de URLs. Segundo a OpenAI, o Atlas será descontinuado em 9 de agosto de 2026.

A pesquisa descreve ainda ataques de CSS hotwiring contra o Fastmail, capazes de redirecionar cliques do usuário para ações não intencionais na interface, além de uma técnica que contorna o proxy de imagens do serviço para identificar quando um e-mail foi visualizado.

Em outro teste, Heyes demonstrou um vetor contra o Proton Mail que permitia expor o endereço IP do destinatário. Durante uma nova validação dos testes, o pesquisador verificou que esse bypass deixou de funcionar, indicando que o serviço implementou correções. O Fastmail também corrigiu duas falhas relacionadas à mutação de CSS, enquanto algumas técnicas envolvendo Outlook e Gmail permaneciam funcionais na data de publicação do estudo.

Como medidas de mitigação, a PortSwigger recomenda que provedores de webmail isolem mensagens HTML em iframes sandbox, reforcem a validação de CSS por meio de listas de caracteres permitidos, bloqueiem seletores e elementos potencialmente perigosos, restrinjam atributos personalizados e impeçam requisições de imagens controladas por atacantes.