Uma nova pesquisa mostra que o conteúdo de um email pode escapar dos limites da mensagem e interferir na interface do webmail.
Em diferentes cadeias de ataque que envolvem Outlook, Gmail, Fastmail, Proton Mail, Yahoo Mail e AOL Mail, as técnicas conseguem capturar senhas, assumir contas de terceiros, vazar tokens, sequestrar ações confiáveis da interface e manipular ferramentas de IA que leem emails.
O pesquisador Gareth Heyes, da PortSwigger, apresentou o trabalho na Black Hat USA 2026. Em uma cadeia que combina Outlook e Firefox, o ataque falsifica uma tela de login da Microsoft e captura a senha digitada pelo destinatário. Já uma corrida de colagem no Yahoo e no AOL pode expor um token de login de email do Medium e permitir que o invasor entre como a vítima. Em outro cenário, envolvendo Gmail e Cowork, a cadeia consegue extrair um token do Slack após injeção de prompt e interação do usuário.
O artigo descreve uma pesquisa de prova de conceito e não relata exploração maliciosa em ambiente real. As PoCs públicas ainda estavam disponíveis em 8 de agosto. Segundo o pesquisador, o Fastmail corrigiu dois bugs de mutação em CSS e um bypass de proxy do Proton Mail deixou de funcionar quando ele refez os testes. Já o sequestro de rótulos no Outlook e o bypass com image-set() do Gmail continuavam ativos quando a pesquisa foi publicada, em 6 de agosto.
O texto não informa se a cadeia completa de captura de senha no Outlook foi corrigida. Para provedores de webmail, a recomendação é isolar emails em HTML dentro de iframes em sandbox e restringir de forma rigorosa CSS, atributos personalizados, menus de seleção e requisições de imagens.
A pesquisa segue dois caminhos. O primeiro é abusar de HTML e CSS que o próprio webmail já permite. O segundo é criar uma discrepância entre o que o sanitizador aprova e o que o navegador ou a aplicação realmente gera. Em ambos os casos, é possível atravessar a fronteira entre uma mensagem não confiável e a interface confiável.
O Outlook mostra como esses elementos podem ser combinados. Elementos de rótulo permitidos podem acionar controles fora da mensagem, enquanto o JavaScript da aplicação pode transformar atributos personalizados já sanitizados em novos nós do DOM com CSS fora da lista permitida pelo sanitizador. Um truque de parsing de media query então deu ao atacante CSS arbitrário.
A cadeia disfarça um elemento select como um campo de senha, e o Firefox redefine seu temporizador de seleção de opções, de cerca de um segundo, quando o select é movido para fora da tela, o que torna a captura em tempo real.
O Yahoo Mail e o AOL Mail expuseram outro caminho. No Firefox, o HTML colado podia reter por um instante CSS ativo antes da sanitização. Na demonstração com o Medium, o atacante inicia um fluxo de login por email, a vítima copia para a área de transferência o CSS fornecido pelo invasor e depois o cola em um rascunho no Yahoo ou no AOL. As requisições geradas revelam parte suficiente do token de login de 12 caracteres para que o servidor do atacante o reconstrua, o que depois pode ser usado para entrar como a vítima.
O artigo também apresenta uma técnica de exfiltração baseada em clique para casos em que a Content Security Policy, ou CSP, bloqueia recursos externos. Com injeção de estilo e um token numérico renderizado como texto no email, o CSS consegue identificar quais dígitos aparecem e com que frequência, ocultar links que não correspondem e deixar o link certo atravessando a página. Um clique da vítima envia os dígitos e sua frequência para o servidor do atacante.
Email conectado à IA cria outro caminho. O fallback do image-set() no Gmail poderia fazer uma requisição externa apesar da sanitização. Heyes e o colega Pete Hendy, da PortSwigger, encadearam isso com uma injeção indireta de prompt em um email processado pelo Claude Cowork, da Anthropic, por meio de um conector ligado ao Gmail.
No cenário demonstrado, depois que o atacante disparou um email de confirmação de token do Slack e a vítima pediu ao Cowork para processar as mensagens, as instruções injetadas fizeram a ferramenta buscar o token e colocá-lo em um rascunho HTML. Ao visualizar o rascunho, o token vazou.
Uma demonstração no Fastmail mirou o navegador de IA Atlas, da OpenAI. Pseudo-elementos em CSS e opacidade fizeram o usuário enxergar um texto inofensivo, enquanto o modelo lia instruções ocultas. Quando o usuário pediu ao Atlas para traduzir o texto visível, o prompt escondido levou a ferramenta a abrir abas e codificar o nome da vítima em fragmentos de URL. A OpenAI está descontinuando o Atlas e informou que o serviço está programado para deixar de funcionar em 9 de agosto de 2026.
Outros achados incluem o chamado “CSS hotwiring” no Fastmail, que pode redirecionar cliques para ações de interface não intencionais e em várias etapas. Um bypass de proxy de imagem no Fastmail, com barra invertida escapada, depende de um domínio user.fm liberado para revelar quando um email é visualizado.
Heyes também demonstrou separadamente um vetor no Proton Mail que expunha o endereço IP do destinatário. A documentação atual da empresa sobre proteção contra rastreamento afirma que o serviço foi projetado para ocultar o IP pessoal do usuário e o horário exato de abertura do email.
O repositório público que acompanha a pesquisa reúne PoCs das técnicas divulgadas. A orientação defensiva começa com isolamento rigoroso, seguido de listas de caracteres permitidos para validação de CSS, checagem de gadgets de CSS antes de autorizar atributos personalizados, bloqueio de menus de seleção e seletores perigosos, além de impedir requisições de imagens controladas pelo atacante e domínios em listas permitidas.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...