El riesgo oculto en el diseño de nuestros correos electrónicos
Tradicionalmente, la seguridad en el correo electrónico se ha centrado en detectar archivos adjuntos maliciosos o enlaces de phishing. Sin embargo, una reciente investigación presentada en Black Hat USA 2026 por Gareth Heyes, investigador de PortSwigger, ha revelado que el propio código CSS (Cascading Style Sheets) —el lenguaje que define el estilo visual de un mensaje— puede ser utilizado como un arma para comprometer la seguridad de las plataformas de webmail más utilizadas del mundo.
El estudio demuestra que el contenido de un correo electrónico puede «escapar» de sus límites y manipular la interfaz de usuario del proveedor de correo (como Outlook, Gmail o Yahoo Mail), permitiendo a los atacantes robar contraseñas, interceptar tokens de sesión y manipular herramientas de Inteligencia Artificial conectadas a la bandeja de entrada.
¿Cómo funcionan estos ataques de CSS?
La técnica se basa en aprovechar las discrepancias entre cómo los filtros de seguridad (sanitizadores) limpian el código HTML/CSS y cómo el navegador finalmente lo interpreta. Algunos de los vectores de ataque más críticos identificados incluyen:
- Suplantación de identidad en Outlook: Mediante el uso de etiquetas permitidas y trucos de visualización, un atacante puede superponer una pantalla de inicio de sesión falsa de Microsoft sobre la interfaz real, capturando las credenciales del usuario en tiempo real.
- Exfiltración de tokens mediante IA: En Gmail, se descubrió que el uso de la función
image-set()podía saltarse las restricciones para realizar solicitudes externas. Esto se combinó con técnicas de prompt injection indirecto para engañar a asistentes de IA (como Claude) y lograr que extrajeran tokens de servicios como Slack hacia servidores controlados por el atacante. - Ataques de «carrera de pegado»: En plataformas como Yahoo y AOL Mail, el código malicioso copiado al portapapeles puede ejecutarse brevemente antes de ser neutralizado, lo suficiente para filtrar tokens de inicio de sesión de terceros.
Impacto en el entorno empresarial
Para las organizaciones, este descubrimiento es especialmente preocupante porque no requiere que el usuario descargue un archivo o haga clic en un enlace sospechoso. En algunos casos, la simple visualización del correo o una interacción mínima con la interfaz es suficiente para que la vulnerabilidad sea explotada. Además, la integración de herramientas de IA que leen y procesan correos electrónicos añade una nueva capa de exposición que los atacantes ya están aprendiendo a manipular.
Recomendaciones de seguridad
Aunque los proveedores de servicios como Proton Mail y Fastmail ya han comenzado a implementar parches, la naturaleza de CSS hace que sea un desafío constante. Desde una perspectiva de gestión de ciberseguridad, en Intedya recomendamos:
- Aislamiento de contenido: Los proveedores de webmail deben aislar el contenido HTML de los correos en iframes bajo entornos sandboxed para evitar que el código del mensaje interactúe con la interfaz principal.
- Políticas de Seguridad de Contenido (CSP): Implementar políticas estrictas que bloqueen solicitudes a recursos externos no autorizados.
- Vigilancia en el uso de IA: Supervisar las integraciones de conectores de IA con el correo corporativo, asegurando que estas herramientas no tengan permisos excesivos para crear borradores o enviar datos a servidores externos sin supervisión humana.
- Formación continua: Capacitar al personal sobre nuevas formas de ingeniería social que pueden manifestarse incluso dentro de interfaces que parecen legítimas y seguras.
La ciberseguridad es un campo en constante evolución donde incluso los elementos más básicos del diseño web pueden convertirse en vectores de riesgo. Mantenerse informado y adoptar marcos de seguridad robustos es la única defensa eficaz ante estas amenazas emergentes.
Fuentes
- The Hacker News — New CSS Attacks Can Break Webmail Defenses to Steal Passwords and Tokens
https://thehackernews.com/2026/08/new-css-attacks-can-break-webmail.html