Webメールの防御をCSSで突破、パスワードやトークンを窃取する新たな攻撃手法が判明

要点

• PortSwiggerの研究者が、HTMLメール内のCSSを利用してWebメールの表示枠を越え、インターフェース全体を操作する攻撃手法を発表した。
• Outlook、Gmail、Yahoo Mail、Fastmail、Proton Mailなど主要なWebメールサービスで、パスワードの窃取や認証トークンの漏洩が可能であることが実証された。
• メールを読み取るAIツールに対する間接的なプロンプトインジェクションや、CSP（コンテンツセキュリティポリシー）の制限下でデータを持ち出す手法も示された。
• 発表時点までに一部の不具合は修正されたものの、一部の手法は動作が続いており、研究者はiframeによるサンドボックス化などの防御策を推奨している。

---

Webメールサービスが設けている保護機能をCSSによって突破し、認証情報やトークンを盗み出す新たな攻撃手法が明らかになりました。サイバーセキュリティ企業PortSwiggerの研究者であるGareth Heyes氏が、米国で開催されたセキュリティカンファレンス「Black Hat USA 2026」にて実証結果を発表しました。メール本文の領域を超えてWebメールのUI（ユーザーインターフェース）に干渉し、外部アカウントの乗っ取りや連携AIの不正操作にまでつながるリスクが示されています。

OutlookとFirefoxを組み合わせたパスワード窃取

今回の研究では、Webメールが本来許可しているHTMLやCSSの悪用、ならびにサニタイザー（有害なコードを除去する仕組み）の判定とブラウザの実際の挙動とのズレを利用するアプローチが取られました。これにより、信頼できないメール本文から信頼されたWebメール画面の境界を越えることが可能になります。

Microsoft OutlookとFirefoxを組み合わせた実証では、Microsoftの正規サインイン画面を偽装し、利用者が入力したパスワードをリアルタイムに窃取する攻撃チェーンが構築されました。メール内で許可されているlabel要素を使ってメッセージ領域外の操作を呼び出し、アプリケーション側のJavaScriptがサニタイズ済みのカスタム属性を新たなDOMノードへ変換する挙動を利用します。ここにメディアクエリの構文解析トリックを合わせることで、サニタイザーの許可リスト外のCSSを注入することに成功しました。

この攻撃では、HTMLのselect要素（ドロップダウン選択メニュー）をパスワード入力欄のように見せかけています。Firefoxではselect要素が画面外に移動すると約1秒の選択タイマーがリセットされる仕様があり、これを利用して入力内容をリアルタイムに攻撃者側へ送信する仕組みが作られました。

Yahoo MailやAOLでのトークン漏洩とCSP回避

Yahoo MailやAOL Mailでは、クリップボードからの貼り付け処理に関する別の侵入経路が示されました。Firefox環境において、コピーされたHTMLをメール下書きに貼り付けた際、サニタイズ処理が適用される前に一瞬だけアクティブなCSSが実行される現象が発生します。

Mediumのメールログインを標的とした実証では、攻撃者がログイン処理を開始した上で、細工されたCSSを被害者にコピーさせ、YahooまたはAOLの下書きに貼り付けさせます。その結果発生する外部リクエストから12文字のログイントークンが断片的に漏洩し、攻撃者のサーバー側でトークン全体を復元して被害者のアカウントへ不正ログインできることが確認されました。

さらに、外部リソースへの接続を遮断するCSP（コンテンツセキュリティポリシー：Webサイトが読み込めるリソースを制限する仕組み）が有効な環境下でも、ユーザーのクリックを利用してデータを持ち出す手法が提示されました。メール内の数値トークンに対し、CSSを用いてどの数字が何回出現するかを判定し、条件に合致するリンクのみを画面全体に広げます。被害者が画面をクリックすると、該当する数値とその出現頻度が攻撃者サーバーへ送信される仕組みです。

メール連携AIツールの悪用とプロンプトインジェクション

メールを処理するAIアシスタントやAIブラウザと組み合わせた攻撃ベクトルも実証されました。

Gmailでは、image-set() のフォールバック処理により、サニタイズをすり抜けて外部へのリクエストが発生する不具合が存在していました。研究チームはこれを、Anthropicの「Claude Cowork」とGmail連携機能を標的とした間接的プロンプトインジェクション（外部データ経由でAIに不正な指示を読み込ませる攻撃）と組み合わせました。Slackのトークン確認メールが届いた状態で利用者がCoworkにメール処理を指示すると、注入された命令によってトークンがHTML下書きに配置され、その下書きを表示した際に外部へ漏洩する流れが成立します。

また、Fastmailを対象とした実験では、OpenAIのAIブラウザ「Atlas」が標的となりました。CSSの擬似要素や不透明度（opacity）の設定によって、人間の目には無害な文章に見せかけつつ、AIモデル側には隠された指示を読み取らせる手法が用いられました。利用者が表示されている文章の翻訳を指示すると、隠れた指示が実行されて新しいタブが開き、URLのフラグメント部分に被害者の名前が埋め込まれて送信される挙動が確認されました。なお、OpenAIはAtlasの提供終了を進めており、2026年8月9日に動作を停止する予定とされています。

このほか、Fastmailにおいてクリックを予期しない複数ステップのUI操作へ誘導する「CSS hotwiring」や、エスケープされたバックスラッシュを用いて画像プロキシを回避しメール開封を検知する手法、Proton MailにおいてIPアドレス保護機能を回避して受信者のIPアドレスを暴露させる手法なども報告されています。

修正状況と推奨される防御策

本研究は概念実証（PoC）として発表されたものであり、実際の悪用事例は報告されていません。関連するPoCコードは公開リポジトリで提供されています。

研究者の報告によると、FastmailはCSSミューテーションに関する2件の不具合を修正し、Proton Mailのプロキシ回避も再検証時点で機能しなくなっていたとのことです。一方で、研究が公開された8月6日の時点では、Outlookのlabel要素を用いた操作やGmailの image-set() によるバイパスは動作が確認されていました。なお、Outlookにおけるパスワード窃取の一連の流れが完全に修正されたかどうかについては、論文内で明記されていません。

論文では、Webメール事業者向けの恒久的な防御策として、HTMLメールをサンドボックス化されたiframe内に完全に隔離することや、CSSの文字許可リストによる厳格な検証、カスタム属性の制限、selectメニューや危険なセレクタの排除、攻撃者による画像リクエストの防止などを推奨しています。