Ataques con CSS rompen las defensas del correo web y capturan contraseñas en Outlook y Gmail
Una investigación presentada en Black Hat USA 2026 demuestra que el contenido de un correo puede escapar de su contenedor y manipular la interfaz del cliente web para falsificar pantallas de inicio de sesión.
Gareth Heyes, investigador de PortSwigger, presentó en Black Hat USA 2026 un trabajo que reabre una pregunta incómoda sobre el correo electrónico: qué tan sólida es la frontera entre el contenido de un mensaje y la interfaz que lo muestra. La respuesta documentada es que esa frontera se puede cruzar usando únicamente CSS.
Escapar del contenedor
La investigación demuestra que el contenido HTML de un correo puede salir de los límites asignados al cuerpo del mensaje y manipular la interfaz del cliente web. Las plataformas afectadas incluyen Outlook, Gmail, Fastmail, Proton Mail, Yahoo Mail y AOL Mail, es decir, prácticamente todo el mercado de correo web de consumo y empresarial.
Una cadena específica contra Outlook en Firefox construye una pantalla falsa de inicio de sesión de Microsoft dentro de la propia interfaz legítima y captura la contraseña escrita por la víctima. El mecanismo es notable por su economía: disfraza un elemento select del formulario para que aparente ser un campo de contraseña.
Otra técnica, aplicable a Yahoo Mail y AOL Mail, aprovecha una condición de carrera durante la operación de pegado para exponer un token de inicio de sesión por correo, lo que abre la puerta a la toma completa de la cuenta.
Estado de las correcciones
Fastmail corrigió dos fallas de mutación de CSS, y un bypass del proxy de Proton Mail dejó de funcionar al momento de reprobar la técnica. Al publicarse el estudio, el 6 de agosto, seguían operativos el label-jacking en Outlook y el bypass mediante la función image-set() en Gmail.
El trabajo es una prueba de concepto y el investigador no reporta explotación maliciosa en el mundo real. La mitigación recomendada consiste en aislar el HTML del correo dentro de iframes en modo sandbox, restringiendo CSS, atributos personalizados, menús desplegables y solicitudes de imágenes.
La lectura de Tabuga Intelligence
La formación antiphishing corporativa descansa sobre una premisa que este trabajo erosiona: que el usuario puede distinguir lo legítimo de lo falso si observa la barra de direcciones, el dominio del remitente y el destino de los enlaces. Aquí el engaño ocurre dentro de la interfaz auténtica del proveedor, en la pestaña correcta, con el dominio correcto en la barra. No hay clic en un enlace externo que examinar.
El desplazamiento de responsabilidad va del usuario al proveedor y al arquitecto de seguridad. Tres controles conservan eficacia en este escenario: autenticación multifactor resistente a phishing, basada en claves de acceso o llaves físicas en lugar de códigos de un solo uso; monitoreo de sesiones anómalas del lado del proveedor de identidad; y, para organizaciones con perfil de riesgo alto, la evaluación de clientes de correo de escritorio que no renderizan CSS del mensaje con la permisividad del navegador.
Para el mercado dominicano, donde la banca, los seguros y el sector público migraron masivamente a correo web empresarial, la conclusión operativa es que la inversión en concientización rinde menos que la inversión en factores de autenticación que no puedan ser capturados por una pantalla falsa.