Nova técnica de ataque com CSS expõe senhas, tokens e até assistentes de IA em serviços de webmail
Uma nova leva de pesquisas apresentada na conferência Black Hat USA 2026 acendeu um alerta importante para quem usa webmail no dia a dia. Falhas em como grandes provedores tratam HTML e CSS dentro das mensagens permitem que conteúdo malicioso “escape” da área do e‑mail e passe a interagir diretamente com a interface do usuário, abrindo caminho para roubo de credenciais, sequestro de sessões e abuso de assistentes de inteligência artificial integrados à caixa de entrada.
Entre os serviços impactados estão alguns dos maiores nomes do mercado: Microsoft Outlook, Gmail, Fastmail, Proton Mail, Yahoo Mail e AOL Mail. Dependendo do cenário, um simples e-mail recebido pode ser suficiente para iniciar uma cadeia de ataque capaz de capturar senhas, extrair tokens de autenticação de outros serviços ou induzir o usuário – e até a IA embutida no webmail – a ações que comprometem a segurança da conta.
O trabalho foi conduzido por Gareth Heyes, pesquisador da PortSwigger, que descreveu diversas provas de conceito explorando essas fragilidades na interpretação de CSS e HTML. Ele afirma não haver indícios de que as técnicas estejam sendo usadas de forma ampla por cibercriminosos no momento, mas destaca que os códigos de demonstração estão disponíveis publicamente, o que reduz a barreira de entrada para futuros ataques e exige reação rápida dos fornecedores de e-mail.
Falsa tela de login no Outlook rouba senhas em tempo real
Um dos cenários mais preocupantes envolve o Microsoft Outlook em combinação com o navegador Firefox. Heyes demonstrou uma técnica capaz de montar, dentro da própria interface do Outlook, uma tela de autenticação falsa da Microsoft praticamente indistinguível da original. Quando a vítima digita a senha, as credenciais são capturadas pelo atacante.
Para chegar a esse resultado, o ataque combina diferentes características do ambiente:
– elementos HTML que o Outlook permite dentro das mensagens;
– manipulação do DOM feita pelo próprio JavaScript da aplicação;
– e um comportamento específico no parsing de media queries, que acaba entregando ao invasor controle fino sobre regras CSS aplicadas à interface.
Um detalhe que torna a armadilha ainda mais convincente é o uso de um elemento “ disfarçado como campo de senha. Por meio de estilização cuidadosa em CSS, o usuário enxerga um input de senha normal, mas, nos bastidores, o navegador lida com um componente de seleção. No Firefox, um comportamento particular permite que as escolhas do usuário sejam capturadas em tempo real quando esse elemento é reposicionado para fora da área visível da página, sem levantar suspeitas.
Vazamento de tokens por brechas temporárias no Yahoo Mail e AOL Mail
Outra técnica explorada atinge o Yahoo Mail e o AOL Mail e se apoia em uma janela de tempo extremamente curta, mas suficiente para causar danos. Ao colar conteúdo HTML em um rascunho de e-mail, algumas regras de CSS permanecem ativas por alguns instantes antes que o sistema conclua o processo de sanitização e elimine elementos potencialmente perigosos.
Na prova de conceito apresentada, esse intervalo é aproveitado para extrair parte de um token de autenticação enviado por um serviço de login por e-mail (no estudo, o Medium foi usado como exemplo). O CSS malicioso consegue revelar fragmentos desse token na interface; em seguida, um servidor sob controle do invasor reconstrói o valor completo e o utiliza para acessar a conta da vítima, sem necessidade de senha. Isso mostra como, em segurança, frações de segundo e pequenas “janelas” de inconsistência podem ser suficientes para comprometer dados sensíveis.
Exfiltração de dados via cliques para burlar CSP
Muitos serviços modernos de webmail adotam políticas rígidas de Content Security Policy (CSP) para impedir que conteúdo malicioso carregue recursos externos diretamente, o que costuma ser a rota tradicional para vazar informações. Heyes, porém, demonstrou um método criativo de exfiltração baseado em cliques, que dribla essas restrições usando apenas CSS.
A técnica funciona assim: o CSS identifica, dentro do corpo da mensagem, quais caracteres de um token ou valor sensível estão presentes. Em vez de enviar esses dados diretamente para fora, ele constrói múltiplos links “cegos” – a maioria inválida – e mantém visível apenas o link cuja composição corresponde ao caractere correto. Quando o usuário interage e clica nesses elementos aparentemente inofensivos, a informação embutida no link é enviada, passo a passo, para um servidor controlado pelo atacante. Assim, CSP continua tecnicamente em vigor, mas é contornada por meio do próprio comportamento humano.
Assistentes de IA integrados ao e-mail viram alvo estratégico
O estudo também evidencia um vetor emergente: a exploração de ferramentas de inteligência artificial ligadas diretamente ao e-mail. Em vez de tentar enganar apenas o usuário, atacantes podem manipular a IA para que ela própria execute ações perigosas em nome da vítima.
Em um dos cenários, Heyes usou o Claude Cowork, da Anthropic, integrado ao Gmail. Por meio de uma técnica de prompt injection indireta – em que instruções maliciosas são ocultas no próprio conteúdo da mensagem -, o assistente foi induzido a localizar um token de autenticação do Slack presente em um e-mail e inseri-lo automaticamente em um rascunho em HTML.
Uma vulnerabilidade extra, relacionada ao modo como o Gmail tratava a função CSS `image-set()`, fazia com que a simples visualização desse rascunho disparasse uma requisição capaz de vazar o token para fora do ambiente seguro. Ou seja, o usuário não precisava clicar em nada: bastava abrir o rascunho elaborado pela IA para que a credencial fosse exposta a terceiros.
Atlas: usuário enxerga um texto, IA obedece a outro
Outro experimento teve como alvo o navegador com IA Atlas, da OpenAI. Utilizando pseudoelementos CSS e manipulação de opacidade, Heyes montou uma situação em que o usuário via apenas um texto aparentemente neutro, enquanto um conjunto completamente diferente de instruções ficava oculto, porém acessível ao modelo de IA.
Ao pedir ao assistente uma simples “tradução” do conteúdo, a IA lia também as instruções invisíveis e realizava ações adicionais, como abrir novas abas e encaixar informações da vítima em fragmentos de URLs. Na prática, isso transforma uma tarefa trivial em uma operação silenciosa de coleta de dados. A OpenAI anunciou que o Atlas será descontinuado em 9 de agosto de 2026, mas o experimento serve de alerta para qualquer integração futura entre navegadores, e-mail e modelos de IA.
CSS hotwiring e rastreamento invisível no Fastmail
A pesquisa detalha ainda ataques de “CSS hotwiring” contra o Fastmail. Nessa abordagem, estilos são usados para redirecionar cliques do usuário para ações totalmente diferentes das esperadas na interface. Um botão aparentemente inofensivo pode, por exemplo, acionar o envio de um e‑mail, alterar configurações da conta ou acionar um link escondido, tudo sem que a vítima perceba o desvio de intenção.
Heyes também mostrou como o CSS pode ser empregado para driblar o proxy de imagens do Fastmail – mecanismo tradicionalmente usado para proteger a privacidade do usuário, evitando que o remetente saiba se e quando a mensagem foi aberta. A técnica proposta permite, ainda assim, descobrir o momento exato em que o e‑mail é visualizado, o que fornece ao atacante um sinal valioso para disparar outras etapas de um ataque mais complexo.
Exposição de IP no Proton Mail e correções já aplicadas
Em outro teste, o pesquisador explorou o Proton Mail, conhecido por seu foco em privacidade. A prova de conceito demonstrou um vetor capaz de expor o endereço IP do destinatário, informação que normalmente é cuidadosamente protegida nesse tipo de serviço. Ao repetir os experimentos em uma segunda rodada de validação, Heyes verificou que o comportamento havia sido corrigido, indicando que o Proton Mail implementou ajustes específicos para bloquear o bypass.
O Fastmail também promoveu correções em duas falhas relacionadas a mutações de CSS, enquanto algumas técnicas aplicadas a Outlook e Gmail ainda se mostravam válidas na data de publicação da pesquisa. Isso reforça como a superfície de ataque ligada à renderização de HTML e CSS em webmails é extensa e desafiadora de manter totalmente livre de brechas.
Por que o CSS virou arma tão poderosa em webmail
Tradicionalmente, CSS é visto apenas como linguagem de estilo, responsável por cores, fontes e layout. Porém, no contexto de webmail, ele pode influenciar profundamente a forma como a interface se comporta e como o usuário interage com elementos em tela. Quando o tratamento desse CSS não é rigidamente isolado, o estilo do e-mail pode “vazar” para fora da mensagem e afetar menus, botões e componentes da própria aplicação de webmail.
Além disso, a combinação de seletores avançados, media queries, pseudoelementos e pseudo-classes permite observar indiretamente o comportamento do usuário e o estado da interface. Isso transforma o CSS em um canal de comunicação discreto, capaz de inferir valores, capturar escolhas e até driblar políticas de segurança pensadas para bloquear JavaScript malicioso.
O que os provedores de webmail precisam fazer agora
Como resposta, a PortSwigger sugere uma série de medidas de mitigação específicas para serviços de webmail:
– isolar mensagens em HTML dentro de iframes com sandbox, impedindo que o conteúdo da mensagem influencie o restante da interface;
– endurecer a validação de CSS adotando listas estritas de caracteres e propriedades permitidas, em vez de apenas bloquear alguns itens suspeitos;
– barrar seletores, pseudoelementos e elementos HTML conhecidos por facilitar ataques de estilo e exfiltração;
– restringir atributos personalizados e estruturas pouco usuais que possam ser exploradas para injeção de instruções ocultas;
– impedir que imagens ou recursos carregados externamente sejam totalmente controlados por atacantes, reduzindo vetores de rastreamento e vazamento de dados.
Esses ajustes exigem esforço de engenharia e podem afetar, em algum grau, a aparência de e-mails de marketing e mensagens com formatação avançada. No entanto, a pesquisa mostra que o risco de manter interpretações permissivas de CSS em webmail é significativamente maior do que o impacto de aplicar restrições mais rígidas.
Como usuários e empresas podem se proteger na prática
Embora muitas das falhas descritas dependam de correções por parte dos provedores, usuários finais e organizações também podem adotar práticas para reduzir a superfície de ataque:
– Desativar a exibição automática de imagens e conteúdo remoto sempre que possível, especialmente em contas usadas para atividades sensíveis.
– Preferir a visualização em texto simples (plain text) para mensagens de remetentes desconhecidos ou suspeitos.
– Desconfiar de qualquer tela de login exibida dentro do próprio e-mail ou em pop-ups gerados pelo webmail. O ideal é sempre acessar a página de autenticação digitando o endereço direto do serviço no navegador.
– Limitar permissões e escopo de tokens de integrações (por exemplo, com Slack ou outras ferramentas), usando autenticação multifator e revogando tokens que não são mais necessários.
– Treinar equipes sobre riscos de prompt injection e ataques envolvendo assistentes de IA, deixando claro que “pedidos de ajuda” para traduzir ou resumir mensagens estranhas podem, na prática, acionar cadeias de ataque.
– Monitorar acessos incomuns às contas corporativas, incluindo logins a partir de novos dispositivos ou locais geográficos inesperados, que podem indicar uso de tokens roubados.
Para empresas que desenvolvem ou integram assistentes de IA ao e-mail, é crucial implementar camadas adicionais de filtragem de conteúdo, isolamento entre mensagens e restrições explícitas do que a IA pode fazer com tokens, links e dados sensíveis encontrados em e-mails. Modelos não devem, por padrão, mover credenciais entre mensagens, criar rascunhos com tokens ou acionar URLs sem validação humana.
O novo papel da segurança em CSS e IA no e-mail
O conjunto de ataques revelados por Gareth Heyes ilustra uma mudança de paradigma: superfícies antes vistas como puramente visuais, como CSS, e ferramentas pensadas para produtividade, como assistentes de IA em webmail, passam a ser tratadas como componentes críticos de segurança.
Para o usuário comum, isso significa que um e-mail “bonito” ou uma automação inteligente podem esconder riscos complexos, difíceis de perceber a olho nu. Para provedores, desenvolvedores e equipes de segurança, o recado é claro: revisar com profundidade a forma como HTML, CSS e IA se combinam dentro da interface de webmail deixou de ser um detalhe de usabilidade e se tornou uma prioridade de defesa.
Na prática, quem atua ou investe em segurança digital precisa acompanhar esse tipo de pesquisa de perto, não só para pressionar por correções, mas para antecipar como cibercriminosos podem adaptar essas técnicas à realidade brasileira. Quanto mais cedo essas lições forem incorporadas a produtos, processos e treinamentos, menor a chance de que o próximo grande vazamento de senhas e tokens comece, silenciosamente, com uma simples folha de estilos.