CSS:受信トレイに潜む見えない脅威

Black Hat USA 2026 – ラスベガス – 脅威アクターがユーザーを狙う手段としてメールプラットフォームを悪用することは、今に始まった話ではありません。また、不審な添付ファイルやガードレールを強化してきた防御側にとっても、悪意あるJavaScriptなどへの対策は目新しいものではありません。しかし、こうしたよく知られた脅威に誰もが注目している一方で、もう一つのベクトルが人目につかないまま存在しています。

HTMLがWebページを支える構造であるのに対し、Cascading Style Sheets(CSS)はページのデザインや表示を担っています。テキストから色、タグから画像まで、ページの見え方を管理しているのがCSSです。そしてPortSwiggerのWebセキュリティ研究者であるGareth Heyes氏によれば、CSSはその多機能性ゆえに武器化され得るといいます。

「今やCSSはほとんどプログラミング言語のようなものです」とHeyes氏は述べています。「CSSはこれまで脇に追いやられ、ほとんど無視されてきました。しかし今では、CSSとHTMLだけで――JavaScriptも添付ファイルも使わずに――機能するキーロガーを構築するには十分なのです」。これにより、機密性の高いユーザー情報が窃取される恐れがあります。

デザインをめぐる発見

Heyes氏が最初にこの危険信号に気づいたのは、自身のWebサイトのデザインを検討していたときのことです。個人プロジェクトで試行錯誤するうちに、CSSがいかに強力な力を持っているか、特に悪用された場合にどれほど危険かを発見したといいます。

しかし、潜在的な脅威の宝庫であるにもかかわらず、CSSベースの攻撃には従来のメールベースの攻撃手法よりも多くの手間がかかります。

「もう少し工夫が必要です。CSSは強力ではあるものの、アニメーションなどを駆使してそこからデータを取り出す方法を見つけ出すには、より多くの作業が必要になるからです」と同氏は付け加えています。

この分野はまだほとんど手付かずのままですが、Heyes氏はCSSベースの攻撃が次の一大フロンティアになると考えています。理由は、スクリプトの実行を伴わずに検知をすり抜けられること、そして人々が十分な注意を払っていないことにあります。

「ブラウザは常にCSSやHTMLに新機能を追加し続けています」とHeyes氏は指摘します。「しかし問題は、そうした機能を追加するたびに、攻撃対象領域が広がっていくことです」。

CSSはこれからも存在し続ける

こうした脆弱性や攻撃が実際に野放しになっている状況について、Heyes氏は今週開催されるBlack Hat USAでの講演で自身の調査結果を明らかにする予定ですが、誰もが知るような大手企業に欠陥を発見したことはすでに認めています。

そして、その責任は最終的にこれらの企業側にあります。ユーザー自身がHTMLやCSSの知識を持っていない限り、自分でできることはほとんどないからです。

ユーザーがWebメールを利用中に悪意あるCSSの表示機能を含むメールを受信した場合、事実上為す術がなくなってしまいます。

「CSSをオフにすることはできません」とHeyes氏は言います。「ですが、Webメールの観点から言えば、ある技術を使ってメッセージを分離し、ページの他の部分に影響が及ばないようにすることは基本的に可能です。また、Webメール側でCSSのより効果的なサニタイズを行うことで、CSSがページの外に漏れ出したり、メッセージの信頼境界を突破したりするのを防ぐこともできます」。

同氏が今後に望んでいるのは、これらのWebメールベンダーがユーザー表示を適切にフィルタリング・サニタイズすること、そしてセキュリティチームがユーザー保護のために画像プロキシを利用することです。こうしたガードレールが明らかに必要なのは、Heyes氏が調査の中でハイジャックのバグや、さまざまな高度な攻撃手法、さらにはベンダーのWebメールプラットフォーム自体のバグまでも発見しているからです。

もっとも、この期待は的外れに終わる可能性もあります。Heyes氏の調査の過程からは、大手メールプラットフォームがセキュリティ上の情報開示にどう対応するかについて、憂慮すべきパターンが浮かび上がってきたからです。迅速かつ透明性を持って対応したベンダーもあれば、調査結果を頭ごなしに否定しておきながら、後になって何の説明もなくひっそりと修正を施したベンダーもありました。

つまり、この新たなフロンティアに立ち向かう準備ができている企業がある一方で、その現実を認めることに消極的な企業も依然として存在するようです。しかし、研究によってCSSがすでにここに存在していることが示されている以上、CSSとその攻撃対象領域は誰のことも待ってはくれないようです。