Peneliti keamanan siber telah mengungkapkan bahwa serangan berbasis CSS masih mampu menembus pertahanan webmail berternama besar, bahkan setelah mereka mengklaim telah memperbaiki kerentanan sejenis. Temuan ini disampaikan oleh Gareth Heyes dari PortSwigger pada konferensi Black Hat USA 2026, di mana ia menunjukkan bagaimana penyerang dapat menyalahgunakan HTML dan CSS yang diizinkan, atau mengeksploitasi perbedaan antara sanitasi dan rendering akhir oleh browser.
Sejumlah penyedia layanan email telah berusaha memperkuat sistem keamanannya. Fastmail berhasil memperbaiki dua bug mutasi CSS, sementara teknik proxy-bypass pada Proton Mail tidak lagi berhasil saat diuji ulang. Namun, beberapa celah tetap eksis. Outlook masih rentan terhadap teknik 'label-jacking', sedangkan Gmail kebobolan melalui penggunaan `image-set()` dalam CSS.
Salah satu demonstrasi paling mengkhawatirkan melibatkan rantai serangan Outlook dan Firefox. Penyerang bisa mendisain kontrol select yang disembunyikan di luar layar, lalu menampilkannya seolah-olah sebagai kolom masuk akun Microsoft resmi. Dengan trik ini, setiap yang diketik korban langsung tertangkap dan dikirim ke server penyerang.
Serangan lain melibatkan draft email di Yahoo atau AOL. Korban diminta menyalin tautan dari email palsu, lalu menempelkannya ke halaman login Medium. Namun, karena celah dalam proses paste (race condition), token otomatis justru bocor dan terekspor ke pihak ketiga.
Di Gmail, rantai serangan lebih kompleks. Setelah melakukan injeksi prompt dan memicu interaksi pengguna, penyerang berhasil mengekstrak token Slack milik korban. Ini menunjukkan betapa teknik manipulasi antarmuka bisa berdampak lintas platform dan jasa digital.
Lembih mengkhawatirkan, peneliti juga menemukan risiko baru akibat integrasi AI dalam inbox. Asisten pemrosesan email seperti Claude Cowork dan OpenAI Atlas bisa salah menginterpretasikan konten yang dimanipulasi sebagai instruksi valid. Dalam eksperimen, konten email yang dimanipulasi berhasil memicu aksi yang mengekspos token atau mengarahkan browser ke URL yang dikontrol penyerang.
Meskipun belum ada bukti eksploitasi massal di dunia nyata, kode proof-of-concept sudah tersebar secara publik. Ini berarti ancaman bisa muncul kapan saja, terutama jika pengguna tidak waspada.
Ahli keamanan menyarankan agar penyedia layanan email mengisolasi rendering email dalam iframe yang disandboxed, membatasi penggunaan CSS secara ketat, dan memblokir kontrol atau selector yang berisiko tinggi. Selain itu, permintaan gambar dari pihak ketiga yang tidak diketahui harus diwaspadai karena sering jadi vektor pengintaian data.
Administrasi juga diminta untuk memperluas pengawasan ke asisten email yang terhubung dengan AI. Mereka bukan lagi sekadar alat bantu, tetapi potensi titik masuk baru bagi serangan yang lebih halus dan sulit terdeteksi.
Dari sudut pandang pengguna Indonesia, ancaman ini semakin relevan seiring pertumbuhan penggunaan layanan email berbasis cloud. Banyak pengguna lokal mengandalkan layanan asing seperti Gmail atau Outlook tanpa menyadari betapa rentannya antarmuka webnya terhadap manipulasi semacam ini.
Sementara itu, industri teknologi lokal yang sedang mengembangkan solusi email bisnis atau kolaborasi perlu memperhatikan temuan ini sejak dini. Menerapkan kebijakan ketat terhadap CSS dan sanitasi konten bukan lagi opsional, tetapi kewajiban untuk menjaga kepercayaan pengguna.
Peneliti menegaskan bahwa serangan CSS bukan lagi sekadar eksperimental. Ia telah menjadi bagian dari pustaka serangan modern yang menggabungkan ketekunan teknis dengan pemahaman psikologi manusia. Masa depan keamanan webmail harus bersifat proaktif, bukan reaktif.
Langkah selanjutnya, para ahli menyarankan agar komunitas pengembang dan penyedia layanan bekerja sama untuk menciptakan standar baru dalam pengolahan konten dinamis. Isolasi yang lebih ketat, validasi berlapis, dan pendidikan pengguna menjadi tiga pilar utama pertahanan yang harus ditingedepankan.