B
今週中
Webメールのインターフェースを突破し、パスワードやトークンを盗み出す新しいCSS攻撃手法が研究されました
📌 一言でいうと
Webメールのインターフェースを突破し、パスワードやトークンを盗み出す新しいCSS攻撃手法が研究されました。Outlook, Gmail, Yahoo Mailなどの主要サービスで、メール本文内のコンテンツが境界を越えてUIを操作し、偽のログイン画面を表示させたりトークンを漏洩させたりすることが可能です。現在は概念実証（PoC）段階であり、悪用事例は報告されていませんが、一部のサービスでは修正が進んでいます。
🔍該当判定
- Gmail, Outlook, Yahoo Mail, Proton Mail, Fastmail, AOL Mailのいずれかをブラウザで利用している
- 社内メールの閲覧にGoogle ChromeやFirefoxなどのWebブラウザを使用している
- メール本文に記載されたリンクやボタンを、ログイン画面のような画面が表示された際にクリック・入力する操作がある
上記いずれにも該当しない → 静観でOK
✅該当時の対応
Webメール利用時に不審なメール内のリンクやボタンを不用意にクリックしないこと。また、多要素認証（MFA）を有効にし、パスワードが漏洩した場合のリスクを低減させることを推奨します。
📧 メール案を見る (社員向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【注意喚起】Webメールでの不審なメール操作に関するご注意
お疲れさまです。情報システム担当です。
Webメール（GmailやOutlookなど）において、メールの内容によって偽のログイン画面が表示され、パスワードを盗み取られる可能性がある攻撃手法が報告されました。
ご協力をお願いしたいこと:
1. 心当たりのない送信者からのメールや、不自然な表示のメールにあるボタン・リンクはクリックしないでください。
2. 万が一、メール閲覧中に突然パスワード入力を求められた場合は、絶対に入力せず、すぐに情報システム担当までご連絡ください。
対応期限: 本日中（周知確認）
お疲れさまです。情報システム担当です。
Webメール（GmailやOutlookなど）において、メールの内容によって偽のログイン画面が表示され、パスワードを盗み取られる可能性がある攻撃手法が報告されました。
ご協力をお願いしたいこと:
1. 心当たりのない送信者からのメールや、不自然な表示のメールにあるボタン・リンクはクリックしないでください。
2. 万が一、メール閲覧中に突然パスワード入力を求められた場合は、絶対に入力せず、すぐに情報システム担当までご連絡ください。
対応期限: 本日中（周知確認）
Subject: [Security Alert] Caution Regarding Suspicious Emails in Webmail
Dear employees,
It has been reported that new attack techniques can use CSS within emails to create fake login screens in webmail services (such as Gmail and Outlook) to steal passwords.
Requested Actions:
1. Do not click buttons or links in emails from unknown senders or those with unusual formatting.
2. If you are suddenly prompted to enter your password while viewing an email, do NOT enter it and report it to the IT security team immediately.
Deadline: Immediate
Dear employees,
It has been reported that new attack techniques can use CSS within emails to create fake login screens in webmail services (such as Gmail and Outlook) to steal passwords.
Requested Actions:
1. Do not click buttons or links in emails from unknown senders or those with unusual formatting.
2. If you are suddenly prompted to enter your password while viewing an email, do NOT enter it and report it to the IT security team immediately.
Deadline: Immediate