นักวิจัยจาก PortSwigger นำโดย Gareth Heyes เปิดเผยเทคนิคการโจมตีใหม่ที่ใช้ชื่อว่า "CSS: The Bomb Inside Your Inbox" ในงาน Black Hat USA 2026 ซึ่งสาธิตให้เห็นว่าอีเมล HTML ธรรมดาสามารถถูกแปลงให้เป็น Keylogger และเครื่องมือขโมยรหัสผ่านแบบ Real-time ได้ โดยใช้เพียง HTML และ CSS เท่านั้น ไม่ต้องพึ่งพา JavaScript หรือมัลแวร์แบบดั้งเดิม ทำให้สามารถหลบเลี่ยงระบบ Security ที่เฝ้าระวังเฉพาะโค้ด JavaScript หรือไฟล์แนบอันตราย
กลไกการโจมตี: เมื่อ CSS กลายเป็นช่องทางขโมยข้อมูล
CSS สมัยใหม่มีความสามารถตอบสนองต่อการโต้ตอบของผู้ใช้ผ่าน Selector อย่าง :hover, :focus, :checked และ :has() รวมถึงสามารถกระตุ้น Animation และเรียกทรัพยากรภายนอกผ่าน background-image, @font-face และ @property เมื่อนำความสามารถเหล่านี้มาผสมผสานกัน จะเกิดเป็น Side Channel ที่สามารถส่งข้อมูลออกไปได้ทุกครั้งที่ผู้ใช้พิมพ์ คลิก หรือโต้ตอบกับฟอร์มในอีเมล
จุดสำคัญของงานวิจัยนี้คือการค้นพบว่าเทคนิคดังกล่าวสามารถ หลบเลี่ยงระบบ Sanitizer ที่เข้มงวด เช่น DOMPurify ได้ โดยอาศัยการ Hijack Select Element และ HTML Label แทนวิธีการเดิมที่เคยถูกบล็อกไปแล้ว นักวิจัยทดสอบเทคนิคนี้กับ Webmail ชื่อดังหลายเจ้า ได้แก่ Gmail, Outlook, Yahoo Mail, AOL Mail, Fastmail และ ProtonMail และพบว่าได้ผลจริงในหลายกรณี ตัวอย่างเช่น ใน Outlook ที่เปิดผ่าน Firefox สามารถสร้างหน้าจอปลอมเลียนแบบหน้า Sign-in ของ Microsoft เพื่อดักจับรหัสผ่านที่ผู้รับพิมพ์ได้โดยตรง ส่วนใน Fastmail มีเทคนิคที่เรียกว่า "CSS Hotwiring" ซึ่งสามารถ Hijack การคลิกใดๆ บนหน้าเว็บให้ไปกระตุ้นการทำงานที่ผู้โจมตีต้องการแทน
ระบบที่ได้รับผลกระทบ
- ผู้ใช้ Webmail ที่รองรับการแสดงผล HTML/CSS ในอีเมล รวมถึง Gmail, Outlook, Yahoo Mail, AOL Mail, Fastmail และ ProtonMail
- องค์กรที่ใช้ Email Gateway หรือระบบกรองอีเมลที่เน้นตรวจจับเฉพาะ JavaScript หรือไฟล์แนบอันตราย โดยไม่ได้กรอง CSS ขั้นสูง
- ผู้ใช้ที่เปิดอ่านอีเมล HTML จากผู้ส่งที่ไม่รู้จักโดยไม่มีการป้องกันเพิ่มเติม
ผลกระทบที่อาจเกิดขึ้น
- ขโมยรหัสผ่านหรือ Token แบบ Real-time เพียงแค่เปิดอ่านอีเมล โดยไม่ต้องคลิกลิงก์ เปิดไฟล์แนบ หรือมี JavaScript ทำงานใดๆ
- ตรวจจับได้ยากเป็นพิเศษ เนื่องจากไม่ใช่มัลแวร์หรือโค้ด JavaScript ที่เครื่องมือ Security ทั่วไปเฝ้าระวัง
- สามารถ Spoof หน้าจอ Sign-in ปลอมซ้อนทับหน้าจอจริง เพื่อหลอกเก็บ Credential เพิ่มเติมในบาง Webmail
- หลบเลี่ยงระบบ Sanitizer ที่เข้มงวดได้ ทำให้มาตรการป้องกันที่มีอยู่เดิมบางส่วนอาจไม่เพียงพอ
สิ่งที่องค์กรควรทำ
- ติดตามประกาศแพตช์จากผู้ให้บริการ Webmail ที่องค์กรใช้งาน และอัปเดตทันทีเมื่อผู้ให้บริการออกการแก้ไข
- ระมัดระวังการเปิดอีเมล HTML จากผู้ส่งที่ไม่รู้จักหรือไม่น่าเชื่อถือ แม้อีเมลจะดูเหมือนไม่มีลิงก์หรือไฟล์แนบที่เป็นอันตราย
- พิจารณาใช้ Email Gateway ที่มีการกรอง CSS/HTML ขั้นสูง ไม่ใช่กรองเฉพาะ JavaScript หรือไฟล์แนบเพียงอย่างเดียว
- อบรมพนักงานให้ตระหนักว่าภัยคุกคามในอีเมลไม่ได้จำกัดอยู่แค่ลิงก์หรือไฟล์แนบอีกต่อไป การเปิดอ่านอีเมลเพียงอย่างเดียวก็อาจมีความเสี่ยง
แนวทางลดความเสี่ยงระยะยาว
1. เพิ่มการกรอง CSS ขั้นสูงในระบบ Email Security
นอกเหนือจากการกรอง JavaScript และไฟล์แนบ ควรพิจารณาจำกัดความสามารถของ CSS Selector ที่มีความเสี่ยงในอีเมล HTML
2. พิจารณาปิดการแสดงผล HTML ในอีเมลสำหรับกลุ่มผู้ใช้ที่มีความเสี่ยงสูง
เช่น ผู้บริหารระดับสูงหรือทีมที่เข้าถึงข้อมูลสำคัญ เพื่อลดพื้นผิวการโจมตีจากเทคนิคประเภทนี้
3. ติดตามงานวิจัยด้าน Email/Web Security จาก PortSwigger และแหล่งข้อมูลด้านความปลอดภัยอย่างสม่ำเสมอ
เนื่องจากเทคนิคการโจมตีผ่าน CSS ยังคงมีการพัฒนาต่อเนื่องและอาจพบรูปแบบใหม่เพิ่มเติม
4. ทบทวนนโยบาย Multi-Factor Authentication (MFA) ให้ครอบคลุมทุกบัญชีที่สำคัญ
เพื่อลดผลกระทบหากรหัสผ่านรั่วไหลผ่านเทคนิคประเภทนี้
วิเคราะห์ในมุมมองจาก TXEC
เทคนิค CSS Bomb เป็นตัวอย่างที่น่ากังวลของการนำฟีเจอร์มาตรฐานที่ดูไม่เป็นอันตราย เช่น CSS Selector และ Animation มาประกอบกันจนกลายเป็นเครื่องมือขโมยข้อมูลที่มีประสิทธิภาพ โดยไม่ต้องพึ่งพา JavaScript หรือมัลแวร์แบบดั้งเดิมเลย จุดที่ TXEC มองว่าน่ากังวลเป็นพิเศษคือความสามารถในการหลบเลี่ยงระบบ Sanitizer ที่เข้มงวดอย่าง DOMPurify ซึ่งเป็นเครื่องมือที่หลายองค์กรใช้เป็นแนวป้องกันหลัก
TXEC มองว่าองค์กรควรทบทวนแนวคิดด้าน Email Security ให้ครอบคลุมมากกว่าการกรอง JavaScript และไฟล์แนบ เนื่องจากเทคนิคนี้แสดงให้เห็นว่าแม้แต่ CSS ธรรมดาก็สามารถถูกใช้เป็นช่องทางโจมตีได้ การรอให้ผู้ให้บริการ Webmail ออกแพตช์แก้ไขเพียงอย่างเดียวอาจไม่เพียงพอ องค์กรควรพิจารณามาตรการเสริม เช่น การจำกัดการแสดงผล HTML ในอีเมลสำหรับกลุ่มผู้ใช้ที่มีความเสี่ยงสูง ควบคู่ไปกับการอบรมพนักงานให้ตระหนักถึงภัยคุกคามรูปแบบใหม่นี้
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: PortSwigger Research, The Hacker News, CyberSecurityNews, Dark Reading ]