Ataques CSS em Webmail: Como Hackers Roubam Senhas e Tokens

Pesquisadores de segurança acabam de revelar uma nova classe de ataques que podem driblar as defesas dos maiores webmails do mundo. As técnicas, apresentadas na Black Hat USA 2026, mostram como um simples e-mail pode escapar dos limites da mensagem e interferir na interface do seu provedor de e-mail. O resultado? Roubo de senhas, tokens de acesso e até manipulação de ferramentas de IA.

O pesquisador Gareth Heyes, da PortSwigger, demonstrou cadeias de ataque contra Outlook, Gmail, Fastmail, Proton Mail, Yahoo Mail e AOL Mail. O impacto é severo: desde a captura de credenciais até o sequestro de ações confiáveis na interface. O que fazer agora? A resposta passa por entender o perigo e agir imediatamente para proteger seus dados.

Como os ataques CSS quebram a segurança do webmail

A pesquisa explora dois caminhos principais. O primeiro abusa de HTML e CSS que os webmails já permitem. O segundo cria uma discrepância entre o que o sanitizador aprova e o que o navegador realmente renderiza. Ambos conseguem cruzar a fronteira entre a mensagem não confiável e a interface confiável.

No Outlook, por exemplo, elementos de rótulo (label) permitidos podem acionar controles fora da mensagem. Um truque de análise de media queries concede CSS arbitrário ao atacante. O golpe final disfarça um elemento select como um campo de senha. Quando a vítima digita, o Firefox reinicia o temporizador de seleção, tornando a captura em tempo real. Uma tela falsa de login da Microsoft aparece e a senha é roubada.

Já no Yahoo Mail e AOL Mail, a técnica da “corrida de colagem” (paste race) expõe tokens de login. O atacante inicia um fluxo de acesso por e-mail, a vítima copia CSS malicioso para a área de transferência e cola em um rascunho. As requisições resultantes revelam o token de 12 caracteres, permitindo que o criminoso assuma a conta da vítima.

O perigo oculto nos e-mails que você recebe

Esses ataques não exigem que você clique em links suspeitos. Basta visualizar o e-mail. O CSS malicioso age silenciosamente, explorando brechas nos mecanismos de sanitização. Mesmo serviços que bloqueiam recursos externos com Content Security Policy (CSP) podem ser contornados com técnicas de exfiltração baseadas em cliques.

Imagine um token numérico exibido no corpo do e-mail. O CSS pode determinar quais dígitos aparecem e com que frequência, escondendo links não correspondentes e deixando apenas o link correto visível. Um clique da vítima envia os dígitos ao servidor do atacante. Engenharia social pura, potencializada por código.

IA e e-mails: uma combinação explosiva

A integração de assistentes de IA com e-mails abriu novas portas para ataques. Heyes e seu colega Pete Hendy encadearam um bypass no Gmail com injeção indireta de prompt no Claude Cowork, da Anthropic. Após o atacante disparar um e-mail de confirmação de token do Slack, a vítima pedia ao Cowork para processar os e-mails. As instruções injetadas faziam o assistente recuperar o token e colocá-lo em um rascunho HTML. Ao visualizar o rascunho, o token vazava.

No Fastmail, o alvo foi o Atlas AI, da OpenAI. Pseudo-elementos CSS e opacidade mostravam texto inofensivo ao humano, mas instruções ocultas ao modelo. Quando o usuário pedia tradução, o Atlas abria abas e codificava o nome da vítima em fragmentos de URL. A IA agia como cúmplice involuntária do ataque.

Vazamento de dados por aplicativos maliciosos: o elo com seu dia a dia

Enquanto os ataques CSS miram webmails, o risco de vazamento de dados por aplicativos maliciosos cresce em paralelo. Ambos exploram a confiança do usuário. Um app falso de edição de fotos pode solicitar permissões excessivas e roubar seus contatos, fotos e até tokens de autenticação armazenados no dispositivo. Esses dados depois alimentam golpes de phishing direcionados ou são vendidos na dark web.

O princípio é o mesmo: código aparentemente inofensivo que esconde intenções maliciosas. No caso dos apps, o perigo está nas permissões abusivas e na coleta silenciosa de informações. Já nos e-mails, o CSS age como um cavalo de Troia digital. A defesa, em ambos os cenários, exige vigilância constante e ferramentas de monitoramento.

Veja o que você pode fazer agora:

• Revogue permissões de aplicativos que você não usa ou que parecem suspeitos.
• Não cole código ou texto suspeito em campos de e-mail, mesmo que pareça inofensivo.
• Desconfie de e-mails que exibem campos de senha ou formulários inesperados dentro da interface.
• Mantenha seu navegador e clientes de e-mail atualizados. Correções de segurança são essenciais.
• Use autenticação de dois fatores (2FA) em todas as contas importantes. Tokens físicos são ainda melhores.
• Monitore vazamentos de dados com uma plataforma confiável para saber se suas credenciais já foram expostas.

O que os provedores e você devem fazer

Para os provedores de webmail, a recomendação é clara: isolar HTML de e-mails em iframes sandboxed e restringir severamente CSS, atributos customizados, menus select e requisições de imagem. A validação com listas de caracteres permitidos e a verificação de “gadgets” CSS antes de liberar atributos são passos urgentes.

Para você, usuário, a proteção começa com a consciência de que nenhum webmail é 100% seguro. Ataques como esses mostram que mesmo serviços consagrados podem falhar. A melhor defesa é uma combinação de boas práticas e monitoramento proativo.

O papel do monitoramento de identidade digital

Saber se seus dados já vazaram é o primeiro passo para agir. Serviços de monitoramento contínuo alertam sobre exposições em tempo real, permitindo que você troque senhas, cancele cartões ou reforce a segurança antes que o prejuízo aconteça. Não espere o golpe chegar.

Os ataques CSS em webmail são um alerta vermelho. A superfície de ataque se expande com a integração de IA e a complexidade das interfaces modernas. Aja agora: revise suas configurações de segurança, limite o uso de aplicativos de terceiros e fique de olho em atividades suspeitas.

FAQ – Perguntas Frequentes

Como saber se fui vítima de um ataque CSS no webmail?

É difícil detectar diretamente, mas sinais incluem telas de login inesperadas dentro do e-mail, redirecionamentos estranhos ou atividades não reconhecidas em contas vinculadas. Monitore seus logins recentes e ative notificações de segurança.

Aplicativos maliciosos também podem roubar tokens de e-mail?

Sim. Muitos apps maliciosos abusam de permissões para acessar tokens armazenados no dispositivo ou interceptar notificações de autenticação. Revise as permissões regularmente e evite instalar apps fora das lojas oficiais.

O que fazer se minhas credenciais vazarem?

Troque imediatamente a senha da conta afetada e de qualquer serviço onde você a reutilizou. Ative 2FA e monitore suas contas por atividades suspeitas. Use um gerenciador de senhas para criar credenciais únicas e fortes.

Fique sempre um passo à frente dos criminosos. Acesse agora a Kzarka e faça uma verificação gratuita: descubra se seus dados vazaram e monitore sua identidade digital.