هجمات CSS الجديدة تكشف ثغرات خطيرة في بريد الويب، وقد تسمح بسرقة كلمات المرور والرموز عبر Gmail وOutlook وخدمات أخرى.
ما هي هجمات CSS التي تستهدف بريد الويب؟
كشفت أبحاث أمنية جديدة عن أسلوب هجوم يعتمد على HTML وCSS داخل الرسائل الإلكترونية، بحيث تتمكن الرسالة من تجاوز حدودها داخل الواجهة والتأثير في عناصر موثوقة ضمن خدمة البريد نفسها.
المشكلة هنا لا تتعلق بمرفق خبيث تقليدي، بل بمحتوى يبدو عادياً داخل الرسالة، ثم يستغل طريقة معالجة المتصفح أو تطبيق البريد للعناصر المسموح بها. ووفقاً لما رصده تيكبامين، فإن هذا النوع من الهجمات يفتح الباب أمام سيناريوهات أكثر تعقيداً من التصيد المعتاد.
كيف يمكن أن تؤدي هجمات CSS إلى سرقة كلمات المرور؟
في بعض سلاسل الهجوم، نجح الباحث في إنشاء واجهات مزيفة تشبه شاشة تسجيل الدخول الأصلية، ما قد يدفع الضحية إلى كتابة كلمة المرور داخل عنصر يبدو شرعياً أمامها.
أبرز المخاطر التي عرضها البحث
- التقاط كلمات المرور من واجهات تسجيل دخول مزيفة.
- تسريب رموز تسجيل الدخول المؤقتة الخاصة بخدمات خارجية.
- اختطاف إجراءات موثوقة داخل واجهة البريد.
- التأثير في أدوات الذكاء الاصطناعي التي تقرأ الرسائل.
- استغلال تفاعل المستخدم أو النقرات لتجاوز بعض القيود الأمنية.
إحدى الحالات اللافتة استهدفت Outlook مع Firefox، حيث تم تمويه عنصر اختيار ليبدو كأنه حقل كلمة مرور. ومع حركة معينة للعنصر خارج الشاشة، أمكن جعل الالتقاط أقرب إلى الوقت الحقيقي أثناء كتابة الضحية.
ما الخدمات المتأثرة بهذه الثغرات الأمنية؟
الأبحاث شملت أكثر من خدمة معروفة، ما يشير إلى أن الخطر لا يخص مزوداً واحداً فقط، بل فئة كاملة من منصات بريد الويب التي تسمح بعرض HTML داخل الرسائل.
- Outlook
- Gmail
- Fastmail
- Proton Mail
- Yahoo Mail
- AOL Mail
وفي مثال آخر، أمكن عبر Yahoo Mail وAOL Mail استغلال لحظة قصيرة يحتفظ فيها المحتوى الملصوق بأنماط CSS فعالة قبل اكتمال التنقية. هذا السيناريو قد يؤدي إلى كشف أجزاء كافية من رمز تسجيل دخول مكوّن من 12 حرفاً، ثم إعادة تركيبه واستخدامه للدخول إلى حساب الضحية.
لماذا تُعد هذه الثغرات مقلقة لمستخدمي Gmail وOutlook؟
خطورة هذه الهجمات أنها تستفيد من عناصر مسموح بها بالفعل، أو من فرق بين ما توافق عليه أداة التنقية وما ينشئه المتصفح أو التطبيق لاحقاً. بمعنى آخر، الحماية قد تبدو موجودة، لكن النتيجة النهائية داخل الصفحة تختلف عن المتوقع.
ما الذي يجعل الاكتشاف مهماً؟
- لا يعتمد على برمجية خبيثة تقليدية.
- يمكن أن يستهدف خدمات بريد شائعة جداً.
- قد يؤدي إلى السيطرة على حسابات خارجية مرتبطة بالبريد.
- يمكن أن يعمل حتى مع وجود سياسات أمنية تحد من تحميل الموارد الخارجية.
كما أشار الباحث إلى أن بعض العيوب تم إصلاحها بالفعل في خدمات محددة، بينما ظلت تقنيات أخرى فعالة عند نشر الدراسة في 6 أغسطس 2026. وحتى 8 أغسطس 2026، كانت نماذج إثبات الفكرة العامة ما تزال متاحة للباحثين.
كيف يمكن حماية خدمات البريد من هجمات CSS؟
التوصيات الأساسية تركز على عزل الرسائل HTML داخل إطارات sandboxed iframes، مع تشديد القيود على CSS والسمات المخصصة والقوائم المنسدلة وطلبات الصور الخارجية.
- عزل محتوى الرسائل عن واجهة الخدمة الموثوقة.
- تقليل عناصر CSS المسموح بها إلى الحد الأدنى.
- منع السمات المخصصة التي قد تتحول لاحقاً إلى عقد DOM جديدة.
- مراجعة سلوك اللصق والتفاعل داخل المحررات.
بالنسبة للمستخدمين، تبقى القاعدة الأهم هي عدم إدخال بيانات الدخول من داخل أي نافذة تظهر داخل الرسالة نفسها، حتى لو بدت رسمية. ويرى تيكبامين أن هجمات CSS ستدفع مزودي البريد إلى إعادة النظر في طريقة عزل الرسائل قبل أن تتحول هذه الثغرات إلى موجة استغلال أوسع.
