Jak ucieczka przez obramowanie CSS naruszyła bezpieczeństwo najbardziej zaufanych interfejsów poczty internetowej na świecie

Pamiętam, jak trzy lata temu siedziałem w pozbawionym okien Centrum Operacji Bezpieczeństwa (SOC), obserwując, jak członek zespołu red team omija wart wiele milionów dolarów firewall aplikacji webowych (WAF) za pomocą jednego zakodowanego znaku. Było to upokarzające przypomnienie, że złożoność jest wrogiem bezpieczeństwa. Często zakładamy, że im więcej wydajemy na warstwę obronną, tym pewniejsza jest jej ochrona. To przekonanie jest błędem. Ostatnie badania zaprezentowane przez Garetha Heyesa z PortSwigger na konferencji Black Hat USA 2026 dowodzą, że nawet najbardziej dojrzałe platformy poczty internetowej są podatne na ataki oparte na stylach.

Dostawcy poczty internetowej, tacy jak Gmail, Outlook i Proton Mail, wydają miliony na silniki sanityzacji. Systemy te działają jak bramkarz w klubie VIP przy każdych drzwiach wewnętrznych. Skanują każdą przychodzącą wiadomość HTML pod kątem złośliwych skryptów i niebezpiecznych tagów. Jeśli fragment kodu wygląda podejrzanie, silnik sanityzujący go usuwa. Badania te pokazują jednak, że atakujący nie potrzebuje JavaScriptu, aby wyrządzić szkodę. Potrzebuje jedynie kaskadowych arkuszy stylów (CSS). Wykorzystując sposób, w jaki przeglądarki i klienci poczty interpretują style, atakujący może przeskoczyć ogrodzenie między niezaufaną wiadomością e-mail a zaufanym interfejsem aplikacji.

Architektoniczny paradoks sanityzacji wiadomości e-mail

Fundamentalnym problemem jest granica. Gdy otwierasz wiadomość e-mail, klient poczty umieszcza tę niezaufaną treść wewnątrz własnego, zaufanego interfejsu użytkownika. Między wiadomością a przyciskami „Skrzynka odbiorcza” lub „Ustawienia” znajduje się cienka ściana. Zazwyczaj ściana ta składa się z serii filtrów, które zapobiegają wpływowi e-maila na resztę strony. Niniejsze badania demonstrują, w jaki sposób CSS może przeniknąć przez tę ścianę.

Jedna ze ścieżek polega na nadużywaniu elementów HTML i CSS, które silnik sanityzujący już dopuszcza. Druga ścieżka tworzy rozbieżność między tym, co zatwierdza silnik, a tym, co ostatecznie renderuje przeglądarka. Obie ścieżki prowadzą do tego samego rezultatu: treść wiadomości e-mail ingeruje w interfejs poczty. Może to prowadzić do kradzieży haseł, wycieku tokenów i nieautoryzowanych działań w interfejsie użytkownika. Jest to systemowa porażka modelu izolacji, na którym polegaliśmy przez dziesięciolecia.

Łańcuch przechwytywania haseł w Outlooku

Najbardziej spektakularne odkrycie dotyczy Outlooka i Firefoksa. Ten łańcuch ataku to pokaz mistrzowski w łączeniu drobnych zachowań przeglądarki w celu osiągnięcia krytycznego naruszenia bezpieczeństwa. Badacz wykorzystał dozwolone elementy label, aby wyzwolić kontrolki poza wiadomością e-mail. Następnie sztuczka z parsowaniem zapytań o media (media-query) pozwoliła na wstrzyknięcie dowolnego kodu CSS, który został pominięty przez silnik sanityzujący.

Wewnątrz wiadomości e-mail atakujący maskuje standardowy element select jako ekran logowania Microsoft. W tym miejscu pojawia się specyficzne zachowanie Firefoksa. Firefox posiada wewnętrzny licznik czasu wynoszący około jednej sekundy dla menu wyboru. Jeśli element select zostanie przesunięty poza ekran, przeglądarka resetuje ten licznik. Przesuwając element strategicznie, atakujący sprawia, że przechwytywanie danych odbywa się w czasie rzeczywistym. Gdy użytkownik myśli, że wpisuje hasło do zaufanego monitu, w rzeczywistości przekazuje je bezpośrednio atakującemu. Technika ta omija tradycyjne ostrzeżenia przed phishingiem, ponieważ adres URL w pasku adresu to nadal outlook.live.com.

Wyścig wklejania w Yahoo i AOL

Yahoo Mail i AOL Mail ujawniły inną podatność zakorzenioną w sposobie, w jaki przeglądarki obsługują schowek. W Firefoksie wklejony kod HTML może przez krótką chwilę zachować aktywny kod CSS, zanim silnik sanityzujący aplikacji zdąży go wyczyścić. Jest to tak zwany „wyścig wklejania” (paste race). Badania zademonstrowały to, biorąc na cel tokeny logowania e-mail do serwisu Medium.

W tym scenariuszu atakujący inicjuje proces logowania na konto Medium ofiary. Ofiara otrzymuje legalną wiadomość e-mail z logowaniem. Jednak atakujący wysłał już wcześniej oddzielną wiadomość zawierającą złośliwy kod CSS. Ofiara kopiuje tę treść i wkleja ją do wersji roboczej w Yahoo lub AOL. W ciągu tego ułamka sekundy podczas wklejania, złośliwy kod CSS wysyła żądania do serwera atakującego. Żądania te ujawniają wystarczającą liczbę znaków z 12-cyfrowego tokena logowania, aby serwer mógł zrekonstruować pełny kod. Atakujący używa następnie tego tokena, aby zalogować się jako ofiara. Cały proces opiera się na sytuacji wyścigu (race condition), która trwa mgnienie oka.

Eksfiltracja tokenów poprzez wstrzykiwanie poleceń

Wzrost popularności narzędzi e-mail połączonych z AI tworzy nową powierzchnię ataku. Gmail stanowi wyraźny przykład poprzez zachowanie awaryjne funkcji image-set(). Pomimo wysiłków związanych z sanityzacją, ta funkcja CSS wciąż może wykonywać zewnętrzne żądania. Gareth Heyes i Pete Hendy połączyli to z atakiem pośredniego wstrzykiwania poleceń (indirect prompt injection). Było to skierowane konkretnie do użytkowników narzędzia Claude Cowork firmy Anthropic, które łączy się z Gmailem w celu przetwarzania wiadomości.

Atakujący wysyła e-mail z ukrytymi instrukcjami dla AI. Gdy ofiara prosi Claude'a o przetworzenie ostatnich wiadomości, AI wykonuje wstrzyknięte instrukcje zamiast poleceń użytkownika. W demonstracji AI pobrało token Slacka z oddzielnej wiadomości e-mail z potwierdzeniem i umieściło go w nowej wersji roboczej HTML. Gdy ofiara wyświetliła tę wersję roboczą, obejście image-set() wyeksfiltrowało token do atakującego. Ten obrót wydarzeń pokazuje, jak agenci AI mogą stać się cyfrowym koniem trojańskim wewnątrz bezpiecznego środowiska.

Fastmail i sztuka „CSS hotwiring”

Fastmail był podatny na to, co badacz nazywa „CSS hotwiring”. Technika ta przekierowuje kliknięcia w niezamierzone, wieloetapowe działania w interfejsie użytkownika. Używając pseudoelementów CSS i nieprzezroczystości, atakujący może nałożyć niewidoczne przyciski na legalny interfejs Fastmail. Użytkownik, który myśli, że klika w link w e-mailu, może w rzeczywistości klikać przycisk, który usuwa jego skrzynkę odbiorczą lub zmienia ustawienia konta.

Badania te objęły również przeglądarkę AI Atlas od OpenAI. Atakujący może użyć CSS, aby pokazać co innego człowiekowi, a co innego maszynie. Na przykład człowiek widzi nieszkodliwy akapit tekstu, podczas gdy model AI odczytuje ukryte instrukcje zakodowane w CSS. Gdy użytkownik prosi Atlasa o przetłumaczenie widocznego tekstu, ukryte instrukcje powodują, że przeglądarka otwiera nowe karty i ujawnia imię ofiary we fragmentach URL. Choć OpenAI wycofuje Atlasa 9 sierpnia 2026 roku, technika ta pozostaje ostrzeżeniem dla każdego programisty budującego AI wchodzące w interakcje z siecią.

Wycieki prywatności w Proton Mail

Nawet usługi skoncentrowane na prywatności, takie jak Proton Mail, nie są odporne. Badacz zademonstrował wektor, który ujawnił adres IP odbiorcy. Proton Mail został zaprojektowany tak, aby ukrywać te informacje przed nadawcami poprzez ochronę przed śledzeniem. Jednak specyficzne obejście CSS pozwoliło na wywołanie zewnętrznego żądania w momencie otwarcia wiadomości. Ujawniło to dokładny czas odczytania wiadomości oraz osobisty adres IP użytkownika. Proton od tego czasu zajął się pewnymi obejściami proxy, ale badania te podkreślają trudność w utrzymaniu idealnego obwodu bezpieczeństwa w świecie złożonego CSS.

Wzmacnianie poczty internetowej przeciwko atakom opartym na stylach

Odkrycia te sugerują, że nasze obecne podejście do bezpieczeństwa poczty e-mail jest reaktywne. Czekamy, aż badacz znajdzie obejście, a następnie je łatamy. Dla dostawców poczty internetowej wytyczne obronne są teraz znacznie bardziej rygorystyczne. Najskuteczniejszą obroną jest całkowita izolacja. Oznacza to renderowanie wiadomości e-mail HTML wewnątrz ramek iframe w piaskownicy (sandboxed iframes). Zapobiega to dotarciu stylów e-maila do nadrzędnego interfejsu użytkownika.

Dostawcy muszą również ograniczyć właściwości CSS do ścisłej białej listy bezpiecznych znaków. Powinni blokować menu wyboru, niestandardowe atrybuty i niebezpieczne selektory, takie jak :has(). Co więcej, muszą zapobiegać wszelkim żądaniom obrazów kontrolowanym przez atakującego, nawet tym, które wydają się pochodzić z domen z białej listy. Z perspektywy użytkownika końcowego najlepszą obroną jest zdrowa paranoja. Należy uważać na każdą wiadomość e-mail, która prosi o skopiowanie i wklejenie treści lub interakcję z nietypowymi elementami interfejsu.

Kluczowe wnioski dla zespołów ds. bezpieczeństwa

• Wdrożenie rygorystycznego piaskowania (sandboxing) ramek iframe dla wszystkich niezaufanych treści HTML.
• Walidacja CSS pod kątem białej listy opartej na znakach, a nie czarnej listy opartej na tagach.
• Audyt interakcji między asystentami AI a modelem DOM wiadomości e-mail, aby zapobiec pośredniemu wstrzykiwaniu poleceń.
• Wyłączenie niebezpiecznych funkcji CSS, takich jak image-set() i złożonych pseudoselektorów w treści e-maila.
• Przegląd zachowania niestandardowych atrybutów HTML, które JavaScript może później przekształcić w aktywne elementy.

Źródła:

• PortSwigger Research: Gareth Heyes, Black Hat USA 2026 Paper
• NIST Special Publication 800-45 Version 2: Guide to Electronic Mail Security
• MITRE ATT&CK Framework: T1566 (Phishing) and T1189 (Drive-by Compromise)

Ten artykuł służy wyłącznie celom informacyjnym i edukacyjnym i nie zastępuje profesjonalnego audytu cyberbezpieczeństwa ani usług reagowania na incydenty.