웹메일 ‘CSS’ 허점으로 비밀번호·토큰 탈취 확산
웹메일 경계가 무너진다…CSS 한 줄이 비밀번호·토큰 탈취로 이어지는 국면
- PortSwigger의 Gareth Heyes는 Black Hat USA 2026에서 Outlook, Gmail, Fastmail, Proton Mail, Yahoo Mail, AOL Mail을 가로지르는 HTML·CSS 공격 사슬을 공개해 메일 본문이 웹메일 UI를 침범할 수 있음을 입증했다.
- Outlook/Firefox 사슬은 허용된 label 요소와 변형된 custom attribute, media-query 해석 우회를 결합해 가짜 Microsoft 로그인 화면을 띄우고 사용자가 입력한 비밀번호를 즉시 수집하도록 설계됐다.
- Yahoo Mail과 AOL Mail 사슬은 Firefox의 붙여넣기 직후 active CSS 잔존 특성을 악용해 12자리 Medium 이메일 로그인 토큰을 노출시키고, 공격자가 피해자 계정으로 직접 접속할 수 있게 만들었다.
- 공개된 증명용 코드와 연구 결과는 2026년 8월 6일 게시됐고 8월 8일에도 남아 있었으며, Fastmail은 CSS mutation 버그 2개를 수정했지만 Outlook 라벨 하이재킹과 Gmail image-set() 우회는 당시까지 동작했다.
- 이 연구는 메시지 경계와 신뢰된 인터페이스가 분리되지 않으면 웹메일이 곧 인증 관문이 된다는 점을 보여주며, 한국 공공메일과 민간 협업계정도 피싱을 넘어 세션 탈취·업무 도구 침해 위험에 직면한다.
- 한국 정부는 HTML 메일의 샌드박스 iframe 격리, CSS 허용목록 검증, select 메뉴 차단, 공격자 제어 이미지 요청 금지 같은 통제를 공공조달과 보안인증 기준에 반영해 메일 보안의 최저선을 끌어올려야 한다.
웹메일은 더 이상 단순한 수신함이 아니라 인증·업무 수행의 관문이다. 과기정통부와 행안부는 공공메일부터 CSS 격리와 이미지 요청 차단을 즉시 의무화하고, 조달평가에 실제 우회 공격 대응력을 넣어야 한다.
주요 용어: CSS(웹페이지의 시각 요소를 제어하는 스타일 규칙), 샌드박스 iframe(본문과 분리해 실행하는 격리 창), 토큰(재로그인 없이 인증을 대신하는 접근 표식), prompt injection(생성형 AI가 숨은 지시를 따르게 만드는 입력 조작)
출처: The Hacker News
