Attaques CSS : comment les webmails peuvent être détournés pour voler mots de passe et jetons

Une nouvelle recherche en sécurité, présentée au Black Hat USA 2026 par le chercheur Gareth Heyes de PortSwigger, révèle que le contenu d’un email peut franchir les limites de son message pour interagir avec l’interface du webmail. Ces attaques CSS innovantes permettent de capturer des mots de passe, de dérober des jetons d’authentification, de détourner des actions d’interface et même de manipuler des outils d’intelligence artificielle qui lisent les emails. Outlook, Gmail, Fastmail, Proton Mail, Yahoo Mail et AOL Mail sont tous concernés, représentant des milliards d’utilisateurs dans le monde, dont une part importante en France. Selon la recherche, six services de webmail ont été testés, et cinq présentaient des vulnérabilités exploitables. Cet article détaille les mécanismes de ces vulnérabilités, leurs implications pour la sécurité des entreprises et des particuliers, ainsi que les mesures de protection recommandées.

Le principe des attaques CSS : une frontière poreuse entre email et interface

Les attaques reposent sur deux grandes approches. La première consiste à abuser des éléments HTML et CSS que les webmails autorisent déjà dans les emails. La seconde exploite un décalage entre ce qu’un sanitizer approuve et ce que le navigateur ou l’application crée finalement. Dans les deux cas, le contenu non fiable de l’email parvient à franchir la barrière qui le sépare de l’interface de confiance du webmail.

« Le contenu d’un email peut s’échapper de sa frontière de message et interférer avec l’interface du webmail. » - Gareth Heyes, PortSwigger

Ces failles ne sont pas théoriques : les preuves de concept (PoC) publiées le 8 août 2026 démontrent des impacts concrets, allant de la capture de mot de passe à la fuite de jetons d’accès. Selon la recherche, les techniques fonctionnent sur les dernières versions des navigateurs et des webmails testés, ce qui augmente le risque d’exploitation dans la nature.

Les principales chaînes d’attaque dévoilées

Outlook et Firefox : capture de mot de passe en temps réel

La chaîne d’attaque la plus spectaculaire cible Outlook via Firefox. Elle combine plusieurs éléments : les labels HTML autorisés peuvent déclencher des contrôles en dehors du message, le JavaScript de l’application transforme des attributs personnalisés sanitizés en nouveaux nœuds DOM portant du CSS hors de la liste blanche, et une astuce de parsing des media queries offre un CSS arbitraire à l’attaquant. Un élément <select> est déguisé en champ de mot de passe. Firefox réinitialise son minuteur d’option d’environ une seconde à chaque fois que l’élément se déplace hors écran, permettant une capture quasi instantanée des caractères saisis. Selon la recherche, ce délai d’une seconde peut être réinitialisé indéfiniment, rendant la capture de mot de passe réaliste en temps réel. Le chercheur a démontré qu’il est possible de spoofier un écran de connexion Microsoft et de capturer le mot de passe saisi par la victime.

Yahoo et AOL : la « paste race » pour voler des jetons de connexion

Sur Yahoo Mail et AOL Mail, une technique différente a été découverte. Dans Firefox, le HTML collé peut conserver brièvement du CSS actif avant sa sanitization. Dans la démonstration avec Medium, l’attaquant initie un flux de connexion par email, la victime copie du CSS fourni par l’attaquant dans le presse-papiers, puis le colle dans un brouillon Yahoo ou AOL. Les requêtes résultantes révèlent suffisamment de caractères du jeton de connexion de 12 caractères pour que le serveur de l’attaquant le reconstitue. Ce jeton peut ensuite être utilisé pour se connecter en tant que victime. Cette technique, appelée paste race, exploite la fenêtre de temps entre le collage et la sanitization complète.

Gmail et l’IA : manipulation de Claude Cowork via image-set()

Gmail autorise la propriété CSS image-set() avec une option de secours (fallback). Le chercheur a découvert que cette option de secours pouvait déclencher une requête externe malgré la sanitization. Enchaînée avec une injection indirecte de prompt dans un email traité par Anthropic Claude Cowork via un connecteur Gmail, cette technique a permis d’exfiltrer un jeton Slack. Dans le scénario démontré, après que l’attaquant a déclenché un email de confirmation de jeton Slack et que la victime a demandé à Cowork de traiter ses emails, les instructions injectées ont poussé l’IA à récupérer le jeton et à le placer dans un brouillon HTML ; la consultation de ce brouillon a entraîné la fuite du jeton. Cette attaque illustre les risques liés à l’intégration d’IA dans les messageries.

Fastmail et OpenAI Atlas : instructions cachées pour l’IA

Fastmail a également été ciblé, cette fois en manipulant l’IA Atlas d’OpenAI. Des pseudo-éléments CSS et des opacités ont permis de faire voir un texte inoffensif à l’humain tandis que le modèle lisait des instructions cachées. Lorsque l’utilisateur a demandé à Atlas de traduire le texte visible, le prompt caché a provoqué l’ouverture d’onglets et l’encodage du nom de la victime dans des fragments d’URL. OpenAI déprécie Atlas, dont l’arrêt est prévu pour le 9 août 2026. Cette technique montre comment le CSS peut être utilisé pour créer une divergence entre ce que voit l’humain et ce que lit l’IA.

Proton Mail : fuite d’adresse IP

Une autre découverte concerne Proton Mail, où un contournement a exposé l’adresse IP du destinataire. Proton affiche dans sa documentation que son service est conçu pour masquer l’adresse IP personnelle et l’heure exacte d’ouverture d’un email, mais cette recherche a montré une faille potentielle. Le chercheur a démontré un vecteur utilisant un backslash échappé dans le proxy d’images de Fastmail, mais pour Proton, un contournement similaire a été identifié. Proton a depuis corrigé le contournement du proxy, mais la recherche souligne la difficulté de garantir l’isolation.

Mécanismes techniques exploités

Label-jacking et mutations CSS

Le label-jacking utilise l’élément HTML <label> pour associer un clic à un contrôle situé en dehors du message, même après sanitization. Les mutations CSS, quant à elles, exploitent la capacité de l’application à transformer des attributs personnalisés pourtant autorisés en nouveaux nœuds DOM porteurs de CSS non filtré. C’est ce qui a permis la capture de mot de passe sur Outlook. Le chercheur a également mis en évidence une technique de CSS hotwiring sur Fastmail, capable de rediriger des clics vers des actions UI non intentionnelles en plusieurs étapes.

Exfiltration par clic malgré la CSP

Lorsque la Content Security Policy (CSP) bloque les ressources externes, une technique d’exfiltration par clic a été imaginée. Si l’attaquant peut injecter du style et qu’un jeton numérique est affiché sous forme de texte dans l’email, le CSS peut déterminer quels chiffres apparaissent et leur fréquence, masquer les liens non correspondants et ne laisser visible que le lien correspondant. Un clic de la victime envoie alors les chiffres et leur fréquence au serveur de l’attaquant. Voici un exemple simplifié du principe :

a[data-token^='1'] { display: none; }
a[data-token^='2'] { display: block; }

Désynchronisation entre sanitizer et navigateur

La seconde approche générale consiste à créer un décalage entre ce que le sanitizer du webmail considère comme sûr et ce que le navigateur interprète finalement. Cela peut passer par des encodages ambigus, des séquences d’échappement ou des fonctionnalités CSS spécifiques à certains navigateurs. Par exemple, un backslash échappé dans une URL peut contourner une liste blanche de domaines, comme cela a été démontré sur Fastmail.

Implications pour la sécurité des entreprises et la conformité

Ces attaques ont des implications directes pour les entreprises françaises. La capture d’un mot de passe Microsoft Outlook peut compromettre l’ensemble d’un environnement Office 365. Le vol de jetons d’accès à des services comme Medium ou Slack peut entraîner des fuites de données sensibles. De plus, la manipulation d’IA connectée aux emails pose des questions de conformité RGPD, notamment si des données personnelles sont traitées par l’IA sans consentement explicite. L’ANSSI, dans ses publications sur la sécurisation des messageries, recommande l’utilisation de solutions isolant le contenu HTML et l’application de correctifs de sécurité. Les entreprises certifiées ISO 27001 doivent intégrer ces risques dans leur analyse de risques et mettre à jour leur politique de sécurité des messageries. Les entreprises doivent évaluer leur exposition à ces vulnérabilités et mettre en place des mesures compensatoires.

Recommandations pour les fournisseurs et les utilisateurs

Face à ces vulnérabilités, le chercheur recommande plusieurs mesures défensives pour les fournisseurs de webmail :

• Isoler le contenu HTML des emails dans des iframes sandboxées, sans accès au contexte parent.
• Restreindre strictement les propriétés CSS autorisées, en utilisant une liste blanche de caractères pour la validation.
• Vérifier la présence de CSS gadgets avant d’autoriser des attributs personnalisés.
• Bloquer les éléments <select> et les sélecteurs dangereux.
• Empêcher les requêtes d’images contrôlées par l’attaquant et les domaines mis en liste blanche.

« La recherche recommande d’isoler le HTML des emails dans des iframes sandboxées et de restreindre strictement les CSS, les attributs personnalisés, les menus select et les requêtes d’images. » - Extrait du document de recherche

Le tableau ci-dessous récapitule les principales attaques et leur statut :

Pour les utilisateurs, voici quelques bonnes pratiques :

• Maintenez votre navigateur à jour, en particulier Firefox qui a été impliqué dans plusieurs chaînes.
• Utilisez un compte email dédié pour les services sensibles (banque, réseaux sociaux).
• Méfiez-vous des emails vous invitant à copier du contenu ou à interagir avec des éléments inhabituels.
• Activez l’authentification multi-facteurs (MFA) pour limiter l’impact d’un vol de jeton.
• Soyez vigilant face aux emails provenant d’expéditeurs inconnus, même s’ils semblent inoffensifs.

L’ANSSI, dans ses guides de sécurisation des messageries, insiste sur l’importance de l’isolation du contenu HTML et de l’application de correctifs de sécurité. Les entreprises françaises utilisant Outlook ou Gmail doivent prendre conscience de ces risques et évaluer leur exposition.

Conclusion : vers une isolation renforcée des emails HTML

Les attaques CSS présentées par Gareth Heyes lors du Black Hat USA 2026 démontrent que les webmails actuels ne garantissent pas une séparation suffisante entre le contenu des emails et l’interface de confiance. En exploitant des fonctionnalités légitimes du HTML et du CSS, les chercheurs ont pu capturer des mots de passe, dérober des jetons et manipuler des IA. Les fournisseurs doivent adopter des mesures d’isolation radicales, comme le sandboxing des iframes et la restriction des fonctionnalités CSS. Pour les utilisateurs, la vigilance reste de mise, en particulier face aux emails sollicitant des actions inhabituelles. La sécurité des emails est un enjeu critique à l’ère de l’IA et des communications interconnectées. Il est urgent que les fournisseurs de webmail intègrent ces leçons pour protéger leurs utilisateurs contre ces nouvelles formes d’attaques. Il est recommandé de suivre les publications de l’ANSSI et des chercheurs en sécurité pour rester à jour.