CSS Malicioso: Como E-mails Podem Roubar Senhas Sem Você Clicar

Você já imaginou que apenas abrir um e-mail poderia expor suas senhas? Pois é exatamente isso que uma nova técnica de ataque, apresentada na conferência Black Hat USA 2026, consegue fazer. O estudo, conduzido pelo pesquisador Gareth Heyes, da PortSwigger, revelou que falhas no processamento de HTML e CSS em serviços de webmail permitem que criminosos criem mensagens capazes de escapar da área de leitura e interagir diretamente com a interface do usuário. Isso significa que um e-mail malicioso pode, sem que você clique em nada, roubar suas credenciais, tokens de autenticação e até manipular assistentes de IA.

Essa descoberta acende um alerta importante: a segurança digital não depende mais apenas de evitar links suspeitos. A sofisticação dos ataques exige que entendamos como nosso comportamento online pode ser explorado e, principalmente, como podemos nos proteger. Neste artigo, vou explicar de forma simples como esses ataques funcionam, quais serviços foram afetados e, o mais importante, o que você pode fazer agora para blindar suas contas. E, claro, vou conectar isso com um perigo crescente no seu dia a dia: malware e spyware em dispositivos móveis.

O que é esse ataque com CSS e por que ele é tão perigoso?

Quando você recebe um e-mail em HTML (com formatação, cores e imagens), seu provedor de e-mail precisa interpretar o código para exibir a mensagem corretamente. O problema é que muitos serviços não isolam perfeitamente esse conteúdo da interface ao redor. A técnica de CSS malicioso explora justamente essa brecha: o invasor insere regras de estilo que ultrapassam os limites da mensagem e afetam elementos da própria página do webmail, como botões, campos de texto e até telas de login falsas.

Na prática, o criminoso pode criar uma réplica quase perfeita da tela de autenticação do seu provedor (como Outlook ou Gmail) e sobrepor essa tela ao e-mail legítimo. Quando você digita sua senha, ela é capturada e enviada para um servidor controlado pelo invasor. Tudo isso sem que você perceba, pois visualmente parece que você está apenas fazendo login novamente. O estudo original, publicado no CyberSecBrazil, detalha variações que afetam desde tokens de acesso até assistentes de IA integrados ao e-mail.

A gravidade está na natureza silenciosa do ataque. Não há um link para clicar, não há um arquivo para baixar. Basta visualizar a mensagem. E como muitos de nós usamos o e-mail como chave mestra para recuperar senhas de outros serviços, o estrago pode ser imenso.

Como os criminosos usam CSS para enganar você e os sistemas de IA

O CSS (Cascading Style Sheets) é a linguagem que define o visual das páginas web. Em um ataque bem elaborado, o invasor abusa de recursos como media queries, pseudo-elementos e animações para extrair informações ou manipular o comportamento da interface. Veja alguns exemplos reais demonstrados na pesquisa:

• Falsa tela de login no Outlook: combinando elementos HTML permitidos e manipulação do DOM, o ataque exibe uma tela de autenticação da Microsoft que captura a senha em tempo real. No Firefox, um comportamento específico permite que a seleção de um elemento select disfarçado de campo de senha seja monitorada caractere por caractere.
• Roubo de tokens no Yahoo e AOL: durante um breve intervalo antes da sanitização completa do e-mail, regras CSS injetadas conseguem expor tokens de autenticação enviados por serviços como Medium. O invasor então reconstrói o token e assume a conta da vítima.
• Burlar políticas de segurança (CSP): em vez de carregar recursos externos, o CSS identifica quais caracteres de um token aparecem na mensagem e, com base nisso, oculta ou exibe links. Quando a vítima clica no link visível, os dados são enviados ao atacante.
• Manipulação de IA: no Gmail integrado ao assistente Claude Cowork, um prompt injection indireto fez o assistente recuperar um token do Slack e inseri-lo em um rascunho HTML. Uma falha no tratamento de image-set() permitia que a simples visualização do rascunho vazasse o token. Em outro teste, com o navegador Atlas da OpenAI, pseudo-elementos CSS escondiam instruções que o modelo de IA interpretava e executava, como abrir abas e incluir dados da vítima em URLs.

Esses exemplos mostram que o perigo vai além do roubo de senhas: tokens de acesso e interações com IA também estão na mira. E o mais assustador é que, em muitos casos, a vítima não precisa clicar em nada – apenas visualizar o e-mail já é suficiente.

Serviços afetados e o que mudou após a divulgação

A pesquisa testou as técnicas em diversos provedores de webmail e navegadores. Abaixo, uma tabela resume os principais alvos e o status das correções até a data da publicação do estudo:

É importante notar que, embora alguns serviços já tenham corrigido as falhas, outras técnicas ainda funcionavam. Isso reforça a necessidade de medidas de proteção individuais, já que não podemos depender exclusivamente das correções dos provedores.

A conexão com malware e spyware em dispositivos móveis

Agora, você pode estar se perguntando: "O que isso tem a ver com malware no meu celular?" A resposta é: tudo. Muitos desses ataques por e-mail são a porta de entrada para infecções mais graves. Um criminoso que consegue roubar sua senha do webmail pode, em seguida, enviar e-mails maliciosos para seus contatos ou acessar outros serviços vinculados. Mas há um risco ainda mais direto: a mesma engenharia social usada nos ataques de CSS pode ser aplicada para induzir você a instalar spyware ou malware no seu smartphone.

Imagine receber um e-mail aparentemente legítimo do seu banco, pedindo para você atualizar o aplicativo por meio de um link. Se você clicar, pode ser direcionado a uma página que imita a loja oficial e baixar um aplicativo falso, repleto de código malicioso. Esse spyware pode gravar tudo o que você digita, acessar suas fotos, mensagens e até ouvir suas conversas. E o pior: muitas vezes ele opera em segundo plano, sem nenhum sinal visível.

Outro cenário comum é o uso de malware bancário, que sobrepõe telas falsas sobre aplicativos legítimos para capturar credenciais. Essa técnica é muito similar ao ataque de CSS que descrevi anteriormente: a vítima acha que está interagindo com o app real, mas está fornecendo dados diretamente ao criminoso. Por isso, a proteção do e-mail e a segurança do dispositivo móvel andam de mãos dadas.

Como se proteger de malware e spyware no celular

Para blindar seu dispositivo contra essas ameaças, siga estas orientações práticas:

1. Baixe aplicativos apenas de lojas oficiais: Google Play Store e Apple App Store têm mecanismos de verificação, embora não sejam infalíveis. Evite lojas de terceiros e nunca instale APKs de fontes desconhecidas.
2. Verifique as permissões solicitadas: um app de lanterna não precisa acessar seus contatos ou localização. Desconfie de pedidos excessivos e negue permissões desnecessárias.
3. Mantenha o sistema operacional e os apps atualizados: as atualizações frequentemente corrigem falhas de segurança que poderiam ser exploradas por malware.
4. Use uma solução de segurança confiável: um bom antivírus para dispositivos móveis pode detectar comportamentos suspeitos e bloquear instalações maliciosas.
5. Não clique em links suspeitos: mesmo em e-mails ou mensagens que pareçam legítimas, desconfie de pedidos urgentes de atualização ou verificação de conta. Acesse o site ou app oficial digitando o endereço manualmente.
6. Fique atento a comportamentos estranhos: aquecimento excessivo, consumo rápido de bateria, lentidão repentina ou pop-ups frequentes podem indicar infecção.

Lembre-se: seu celular é um computador de bolso, tão vulnerável quanto um PC. Protegê-lo é essencial para sua segurança digital como um todo.

O que você pode fazer agora para se proteger de ataques via e-mail

Além das medidas específicas para dispositivos móveis, há ações imediatas que você pode tomar para reduzir o risco de ser vítima desses ataques sofisticados por e-mail:

• Desabilite o carregamento automático de imagens: muitos ataques de CSS dependem do carregamento de recursos externos. Configure seu cliente de e-mail para não baixar imagens automaticamente. No Gmail, por exemplo, vá em Configurações > Geral > Imagens e selecione "Perguntar antes de exibir imagens externas".
• Use um cliente de e-mail que isole mensagens em sandbox: alguns serviços mais avançados ou extensões podem abrir e-mails em um ambiente isolado, impedindo que o código interaja com a interface principal.
• Ative a autenticação de dois fatores (2FA): mesmo que sua senha seja roubada, o 2FA adiciona uma camada extra de proteção. Prefira métodos como aplicativos autenticadores ou chaves de segurança físicas.
• Não reutilize senhas: se uma senha vazar em um ataque, todas as contas que a compartilham ficam em risco. Use um gerenciador de senhas para criar e armazenar senhas únicas e fortes.
• Desconfie de e-mails que pedem login novamente: se você abrir uma mensagem e aparecer uma tela de autenticação, feche a aba imediatamente. Acesse o serviço diretamente pelo site oficial, digitando o endereço no navegador.
• Mantenha seu navegador atualizado: muitos ataques exploram comportamentos específicos de navegadores. As versões mais recentes costumam incluir proteções contra essas técnicas.

Essas ações são simples, mas extremamente eficazes para cortar o mal pela raiz. Como educadora em segurança digital, sempre reforço: a prevenção é o melhor remédio.

Como a Kzarka pode ajudar você a monitorar e proteger sua identidade digital

Mesmo com todos os cuidados, vazamentos de dados acontecem. E quando suas informações caem em mãos erradas, você se torna um alvo mais fácil para ataques como os que descrevi. É aí que a Kzarka entra: nossa plataforma monitora continuamente se seus dados pessoais (e-mails, senhas, documentos) foram expostos em vazamentos conhecidos. Se algo for encontrado, você recebe um alerta imediato para tomar as medidas necessárias, como trocar senhas e reforçar a segurança das contas afetadas.

Não espere ser a próxima vítima. Visite nosso site e faça uma verificação gratuita agora mesmo. Em poucos segundos, você descobre se seus dados estão circulando na dark web. E, se quiser proteção contínua, nossos planos de monitoramento mantêm você sempre um passo à frente dos criminosos. Sua identidade digital é valiosa – deixe a Kzarka ajudar a protegê-la.

Perguntas Frequentes (FAQ)

1. Como posso saber se um e-mail é malicioso só de olhar?

Infelizmente, nos ataques mais sofisticados, é quase impossível identificar apenas pela aparência. E-mails maliciosos podem imitar perfeitamente a identidade visual de empresas confiáveis. Por isso, a regra de ouro é: nunca clique em links ou baixe anexos inesperados, mesmo que o remetente pareça conhecido. Na dúvida, acesse o site oficial digitando o endereço manualmente ou entre em contato por outro canal.

2. Meu provedor de e-mail já corrigiu essas falhas. Ainda corro risco?

Sim. Embora correções sejam lançadas, novas técnicas surgem constantemente. Além disso, o comportamento do usuário continua sendo o elo mais fraco. Manter as configurações de segurança do seu cliente de e-mail (como bloqueio de imagens externas) e seguir as boas práticas que listei são medidas essenciais, independentemente das atualizações do provedor.

3. O que fazer se eu digitei minha senha em uma tela falsa sem querer?

Aja rápido: troque a senha imediatamente usando um dispositivo limpo e seguro. Em seguida, ative a autenticação de dois fatores em todas as contas que permitirem. Verifique se houve atividades suspeitas (como e-mails enviados sem sua autorização ou alterações nas configurações de segurança). Por fim, considere usar um serviço de monitoramento como a Kzarka para verificar se suas credenciais apareceram em vazamentos.