🎭 تکین آنالیز | حمله بدون جاوااسکریپت؛ چگونه استایل‌های CSS امنیت Gmail و Outlook را شکستند

به پرونده تحلیلی و کالبدشکافی عمیق تکین آنالیز خوش آمدید. ارائه استثنایی و تاریخی گرت هیز (Gareth Heyes)، محقق برجسته موسسه امنیتی PortSwigger در کنفرانس بین‌المللی Black Hat 2026 در لاس‌وگاس، فرضیه‌های دیرینه مهندسان امنیت شبکه را فرو ریخت. تا پیش از این افشاگری، تصور عمومی بر این بود که با حذف کدهای جاوااسکریپت (`<script>`) و فایل‌های پیوست اجرایی، ایمیل‌های دریافتی کاملاً بی‌خطر خواهند بود. اما هیز اثبات کرد که زبان استایل‌نویسی CSS به تنهایی می‌تواند به سلاحی مرگبار برای تسخیر رابط کاربری سرویس‌های وب‌میل تبدیل شود.

تیم تحریریه تکین‌گیم در این پرونده ویژه به تشریح دقیق مکانیزم نفوذ، تکنیک‌های سرقت گذرواژه در لحظه، ربودن توکن‌های احراز هویت و نحوه فریب ایجنت‌های هوش مصنوعی توسط کدهای CSS پرداخته است.

شکست ایمنی ایمیل‌ها؛ وقتی CSS از مرزهای پاک‌سازی عبور می‌کند

سرویس‌دهندگان وب‌میل بزرگ جهان مانند Gmail، Outlook، Proton Mail و Fastmail سال‌هاست که از پاک‌کننده‌های پیشرفته کدهای HTML (Sanitizers) استفاده می‌کنند تا عناصر خطرناک نظیر کدهای اسکریپت یا تگ‌های اجرایی را مسدود نمایند. اما تحقیقات گرت هیز نشان داد که میان آنچه پاک‌کننده ایمن می‌پندارد و آنچه مرورگر وب رندر می‌کند، یک شکاف فنی عمیق وجود دارد.

مهاجمان با سوءاستفاده از قابلیت‌های پیشرفته CSS مدرن و ویژگی‌های استاندارد مرورگر، کدهایی تزریق می‌کنند که محتوای ایمیل از کادر مشخص‌شده خود خارج شده (Escape) و عناصر لایه بالاتر مانند فرم‌های ورود، دکمه‌های تایید و پورتال‌های تنظیمات وب‌میل را تحت تاثیر قرار می‌دهد.

دسته‌بندی‌های اصلی تکنیک‌های نفوذ بر پایه CSS عبارتند از:

• سوءاستفاده از ویژگی‌های مجاز CSS برای جابه‌جایی عناصر بصری و پوشش دادن دکمه‌های اصلی سیستم
• استفاده از تکنیک جهش CSS (CSS Mutation) برای دور زدن فیلترهای متاداده‌ای پاک‌کننده‌ها
• ایجاد صفحات ورود جعلی در داخل وب‌میل بدون فعال‌سازی هشدارهای فیشینگ مرورگر
• دستکاری ساختار DOM مرورگر برای تغییر رفتار دستیارهای هوش مصنوعی یکپارچه‌شده با ایمیل

این دستاورد ثابت کرد که انیمیشن‌ها، متغیرها و فونت‌های سفارشی CSS می‌توانند خطرناک‌تر از کدهای جاوااسکریپت باشند.

تحلیلگران سایبری این پژوهش را تکان‌دهنده‌ترین افشاگری امنیت وب در سال ۲۰۲۶ نامیده‌اند.

سنجش دماسنج بازار نشان می‌دهد که ریسک‌های امنیتی ابزارهای هوش مصنوعی خواننده ایمیل پس از این ارائه به سطح بحرانی رسیده است.

جدول زیر گاه‌شمار و پلتفرم‌های آسیب‌پذیر شناخته‌شده در جریان تحقیقات گرت هیز را خلاصه‌سازی می‌کند.

گزارش‌های تکمیلی تکین‌گیم نشان‌دهنده لزوم بازنگری در تمام موتورهای رندر وب‌میل‌های جهان است.

سرقت زنده کلمات عبور و توکن‌ها؛ کالبدشکافی تکنیک Label-Jacking

یکی از درخشان‌ترین و در عین حال وحشتناک‌ترین بخش‌های نمایش گرت هیز در بلک هت ۲۰۲۶، ثبت زنده کلیدهای ورود کاربر (Keystroke Logging) در محیط مایکروسافت اوت‌لوک بود. در این سناریو، مهاجم بدون نیاز به هیچ اسکریپتی، تنها با ترکیب تگ‌های مجاز `<label>` و کدهای استایل CSS، یک فرم ورود ساختگی را روی صفحه اوت‌لوک شبیه‌سازی کرد. هنگامی که کاربر رمز عبور خود را تایپ می‌کرد، کدهای CSS با تغییر پس‌زمینه و ارسال درخواست‌های هوشمند تصویر، هر کاراکتر تایپ‌شده را در لحظه به سرور مهاجم منتقل می‌نمودند.

تکنیک دیگر به نام Label-Jacking به مهاجم اجازه داد تا روی دکمه‌ها و فرم‌های تایید خارج از کادر ایمیل، پوشش‌های شفاف ایجاد کند. بدین ترتیب کلیک کاربر روی یک دکمه ظاهراً بی‌خطر درون ایمیل، باعث تایید مأموریت‌های حساس مانند حذف حساب، بازنشر ایمیل یا ارسال توکن‌های OAuth به خارج از سیستم می‌گردید.

تحلیل تیم تخصصی تکین‌گیم نشان می‌دهد که این حملات به دلیل عدم نیاز به اسکریپت، توسط هیچ آنتی‌ویروس یا فیلتر فیشینگ متداولی شناسایی نمی‌شوند.

نقل‌قول زیر از بیانات رسمی گرت هیز در کنفرانس بلک هت ۲۰۲۶ برداشته شده است.

ماتریس زیر ویژگی‌ها و تفاوت‌های حملات سنتی جاوااسکریپت (XSS) و حملات نوین بدون اسکریپت (CSS-Only) را مقایسه می‌کند.

در ادامه، کالبدشکافی تصویری و ویدیو اختصاصی تکین‌گیم پیرامون تکنیک‌های نفوذ با CSS و امنیت وب‌میل‌ها قرار گرفته است.

برای درک بهتر مفاهیم تخصصی نفوذ استایلی و فیلترینگ مرورگرها، اصطلاحات زیر تنظیم گردیده است.

فریب ایجنت‌های هوش مصنوعی؛ وقتی CSS ابزارهای AI خواننده ایمیل را مسموم می‌کند

یکی از مخرب‌ترین ابعاد کشف‌شده در تحقیقات سال ۲۰۲۶، آسیب‌پذیری ایجنت‌ها و دستیارهای هوش مصنوعی یکپارچه‌شده با سرویس‌های ایمیل (مانند گوگل جمینای در Gmail یا کوپایلوت در Outlook) است. این ابزارها برای خلاصه کردن ایمیل‌ها یا پاسخگویی خودکار، کدهای متن و استایل ایمیل را پردازش می‌کنند.

مهاجمان با تزریق دستورات مخفی در کدهای CSS (مثلا با اندازه فونت صفر یا موقعیت پنهان روی صفحه)، تزریق پرامپت غیرمستقیم (Indirect Prompt Injection) انجام می‌دهند. بدین ترتیب هوش مصنوعی هنگام خواندن ایمیل، دستورات مخفی پنهان‌شده در استایل را به عنوان فرمان سیستمی اجرا کرده و اقدام به سرقت اطلاعات حساس یا ارسال ایمیل‌های اسپم می‌نماید.

تبعات خطرناک مسموم‌سازی هوش مصنوعی با کدهای CSS عبارتند از:

• خلاصه نادقیق یا تحریف‌شده ایمیل‌های مهم کاری برای فریب دادن کاربر
• اجرای خودکار دستورات مالی یا ارسال کلیدهای دسترسی توسط دستیار AI
• عدم نمایش کدهای مخفی به کاربر انسانی در حالی که برای مدل‌های هوش مصنوعی کاملاً خوانا هستند
• ایجاد زنجیره‌های نفوذ خودکار میان حساب‌های مختلف شرکت‌ها

این دستاوردهای نگران‌کننده اثبات کردند که هوش مصنوعی نباید بدون ایزوله‌سازی کامل، داده‌های خامی چون کدهای CSS را پردازش نماید.

جدول زیر مقایسه‌ای میان مکانیزم‌های سنتی پاک‌سازی و روش دفاعی ایزوله‌سازی در فریم‌های قرنطینه‌شده ارائه می‌دهد.

چرا آینده امنیت ایمیل نیازمند ایزوله‌سازی کامل است؟

پژوهش‌های گرت هیز نشان داد که مرورگرهای وب مدرن با ارائه ویژگی‌های بصری جدید، ناخواسته لایه‌های نفوذ نوینی پدید می‌آورند. تنها راهکار نجات وب‌میل‌ها، نمایش محتوای ایمیل در فریم‌های کاملاً ایزوله‌شده (Sandboxed iFrames) و حذف کامل کدهای استایل غیرضروری است.

تکین‌گیم تمام تحولات و بهینه‌سازی‌های امنیتی را به صورت مستمر رصد خواهد کرد.

مشخصات فنی و تاریخچه آرشیو (Specs Box)

تحلیل آسیب‌پذیری‌های کشف‌شده در سرویس‌های وب‌میل نشان می‌دهد که رویکردهای سنتی امنیت شبکه نیازمند بازنگری در ساختارهای رندرینگ هستند.

توصیه تیم تحلیلی تکین‌گیم به تمام مدیران سیستم و توسعه‌دهندگان فرانت‌اند این است که کنترل‌های سخت‌گیرانه‌ای برای برچسب‌های سفارشی و کدهای CSS اعمال نمایند.

بررسی حملات ثبت‌شده ثابت کرده است که حتی پیشرفته‌ترین سرویس‌های ابری نیز در صورت عدم استفاده از فریم‌های ایزوله‌شده، در برابر نفوذهای لایه استایل آسیب‌پذیر خواهند بود.

بررسی جدول مشخصات فوق نشان‌دهنده لزوم ارتقای فریمورک‌های دفاعی وب‌میل‌ها در برابر استایل‌های نوین است.

جدول زیر راهکارهای ارتقای امنیت و ایزوله‌سازی سرویس‌های ایمیل را ارزیابی می‌کند.

تحلیل کارشناسان تکین‌گیم در گزارش تصویری زیر، ابعاد فنی حملات بدون جاوااسکریپت و راهکارهای مقابله با آن را به تفصیل بررسی کرده است.

راهکارهای دفاعی پیشرفته؛ چگونه سیستم‌های خود را در برابر نفوذ CSS ایمن کنیم؟

موسساتی که از سرویس‌های وب‌میل سازمانی استفاده می‌کنند، باید ساختارهای امنیتی خود را ارتقا دهند. پیشنهاد گرت هیز برای سرویس‌دهندگان، اعمال محدودیت‌های سخت‌گیرانه روی برچسب‌های `<select>`، دستورات `image-set()` و صفت‌های سفارشی است.

همچنین سازمان‌ها باید دسترسی ایجنت‌های هوش مصنوعی به کدهای خام HTML را قطع کرده و تنها متن خالص (Plain Text) را برای تحلیل در اختیار این مدل‌ها قرار دهند تا از تزریق پنهان پرامپت جلوگیری شود.

محورهای برجسته راهکارهای دفاعی عبارتند از:

• قرنطینه کردن کامل کدهای ایمیل درون iFrameهای دارای ویژگی `sandbox`
• مسدودسازی بارگذاری تصاویر برخاسته از دامنه‌های ناشناس بدون تایید کاربر
• استفاده از سیستم‌های احراز هویت چندعاملی (MFA) سخت‌افزاری برای خنثی‌سازی سرقت گذرواژه‌ها
• پایش مستمر متاداده‌های تبادلی میان مرورگر و سرورهای وب‌میل برای کشف درخواست‌های غیرعادی CSS

این تدابیر دفاعی اثبات کردند که امنیت پایدار تنها با اعمال اصول Zero Trust در فرانت‌اند محقق می‌گردد.

دیدگاه رسمی هیئت تحریریه تکین‌گیم درباره این افشاگری در زیر درج شده است.

جدول زیر جمع‌بندی استراتژیک ریسک‌ها و فرصت‌های شناسایی حملات CSS را نشان می‌دهد.

صنعت امنیت سایبری با سرعتی بی‌نظیر در حال بازتعریف الزامات کارایی و حفاظت از داده‌ها است.

تکین‌گیم تمام گزارش‌های تکمیلی را با دقت رصد خواهد نمود.

نتیجه‌گیری؛ پایان عصر اعتماد به کدهای ظاهراً ایمن

پرونده تحلیلی تکین آنالیز از تحقیقات گرت هیز درباره حملات CSS اثبات کرد که مرز میان محتوای ایمن و کدهای مخرب در دنیای وب همواره در حال تغییر است. کشف آسیب‌پذیری‌های بدون اسکریپت که می‌توانند حتی دستیارهای هوش مصنوعی را نیز به ابزاری برای سرقت تبدیل کنند، زنگ خطری جدی برای تمامی پلتفرم‌های ابری است.

پیاده‌سازی ایزوله‌سازی کامل و پذیرش معماری Zero Trust تنها راه مطمئن برای حفظ حریم خصوصی میلیون‌ها کاربر وب‌میل در سراسر جهان خواهد بود.

با ما در تکین‌گیم همراه باشید و نظرات و تحلیل‌های خود را درباره این افشاگری جنجالی امنیت وب در بخش دیدگاه‌ها با ما درمیان بگذارید.