สรุปสั้น

งานวิจัยชุดใหม่แสดงให้เห็นว่าเนื้อหาที่อยู่ภายในอีเมลสามารถหลุดออกจากกรอบของตัวข้อความ แล้วเข้าไปแทรกแซงหน้าจอของโปรแกรมเว็บเมลที่เปิดอ่านอยู่ได้ นาย Gareth Heyes นักวิจัยจากบริษัท PortSwigger นำเสนอผลงานนี้ในงาน Black Hat USA 2026 โดยครอบคลุมสายการโจมตีที่ทดสอบกับ Outlook, Gmail, Fastmail, Proton Mail, Yahoo Mail และ AOL Mail เทคนิคที่พบสามารถดักรหัสผ่านที่ผู้รับพิมพ์ลงไป ยึดบัญชีบริการภายนอก ทำให้โทเคนรั่วออกไป หลอกให้ผู้ใช้กดปุ่มที่เป็นการกระทำอื่นโดยไม่รู้ตัว และแม้กระทั่งบิดเบือนการทำงานของเครื่องมือ AI ที่ถูกเชื่อมต่อให้อ่านอีเมลแทนผู้ใช้

จุดที่ควรเน้นคืองานชิ้นนี้เป็นการพิสูจน์แนวคิดในเชิงวิจัย และรายงานระบุชัดว่ายังไม่พบการนำไปใช้โจมตีจริง แต่โค้ดพิสูจน์แนวคิดถูกเปิดเผยต่อสาธารณะและยังเข้าถึงได้ ณ วันที่ 8 สิงหาคม สถานะการแก้ไขของผู้ให้บริการแต่ละรายก็ต่างกัน โดยนักวิจัยระบุว่า Fastmail แก้บั๊ก CSS mutation ไปแล้วสองจุด และช่องทางเลี่ยงพร็อกซีของ Proton Mail ใช้ไม่ได้แล้วเมื่อกลับไปทดสอบซ้ำ ขณะที่เทคนิค label-jacking บน Outlook และการเลี่ยงการกรองด้วยฟังก์ชัน image-set() บน Gmail ยังใช้ได้อยู่ ณ วันที่งานวิจัยถูกเผยแพร่คือ 6 สิงหาคม 2569 ส่วนคำแนะนำหลักที่งานวิจัยเสนอให้ผู้ให้บริการเว็บเมลคือการแยกอีเมล HTML ไปอยู่ใน iframe แบบแซนด์บ็อกซ์ และจำกัดการใช้ CSS ให้เข้มงวดกว่าเดิมมาก

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 8 สิงหาคม พ.ศ. 2569 ว่า งานวิจัยชิ้นใหม่ของ PortSwigger แสดงให้เห็นว่าเนื้อหาในอีเมลสามารถข้ามขอบเขตของตัวข้อความไปรบกวนอินเทอร์เฟซของเว็บเมลได้จริง โดยงานวิจัยเดินตามสองเส้นทางคู่ขนาน เส้นทางแรกคือการใช้ประโยชน์จาก HTML และ CSS ที่เว็บเมลอนุญาตให้ใช้ได้อยู่แล้ว เส้นทางที่สองคือการสร้างความไม่ตรงกันระหว่างสิ่งที่ตัวกรองเนื้อหาอนุมัติ กับสิ่งที่เบราว์เซอร์หรือแอปพลิเคชันสร้างขึ้นจริงในตอนท้าย ทั้งสองเส้นทางนำไปสู่ผลลัพธ์เดียวกันคือการข้ามเส้นแบ่งระหว่างข้อความที่ไม่น่าเชื่อถือกับอินเทอร์เฟซที่ผู้ใช้ไว้ใจ

Outlook เป็นตัวอย่างที่แสดงให้เห็นว่าชิ้นส่วนต่าง ๆ ประกอบกันได้อย่างไร องค์ประกอบ label ที่ระบบอนุญาตสามารถสั่งงานตัวควบคุมที่อยู่นอกกรอบข้อความได้ ขณะที่โค้ด JavaScript ของตัวแอปพลิเคชันเองสามารถเปลี่ยน custom attribute ที่ผ่านการกรองแล้วให้กลายเป็นโหนด DOM ใหม่ที่พก CSS ซึ่งอยู่นอกรายการอนุญาตของตัวกรองเข้ามาได้ จากนั้นเทคนิคหลอกการแยกวิเคราะห์ media query ก็ทำให้ผู้โจมตีได้ CSS ตามอำเภอใจในที่สุด

สายการโจมตีที่ผสมกันบน Outlook เมื่อใช้ร่วมกับเบราว์เซอร์ Firefox สามารถปลอมหน้าจอลงชื่อเข้าใช้ของ Microsoft แล้วดักรหัสผ่านที่ผู้รับพิมพ์ลงไปได้ ส่วนบน Yahoo Mail และ AOL Mail มีสายที่อาศัยจังหวะการวางข้อความซึ่งเปิดเผยโทเคนล็อกอินทางอีเมลของ Medium ทำให้ผู้โจมตีลงชื่อเข้าใช้ในฐานะเหยื่อได้ และอีกสายหนึ่งบน Gmail สามารถส่งโทเคนของ Slack ออกไปได้หลังผ่านการฉีดคำสั่งทางอ้อมและการโต้ตอบของผู้ใช้

รายงานยังไม่ระบุชัดว่าสายการดักรหัสผ่านบน Outlook แบบเต็มรูปแบบได้รับการแก้ไขแล้วหรือยัง ซึ่งเป็นข้อจำกัดที่ผู้อ่านควรรับทราบ ในทางกลับกัน คลังโค้ดสาธารณะที่แนบมากับงานวิจัยมีโค้ดพิสูจน์แนวคิดของเทคนิคที่เปิดเผยไว้ครบ หมายความว่าผู้ที่สนใจสามารถศึกษาและทำซ้ำได้ทันที ซึ่งโดยปกติจะเร่งให้เกิดการนำไปดัดแปลงใช้จริงเร็วขึ้น

วิธีการโจมตี

สายการโจมตีบน Outlook อาศัยการอำพราง element ประเภท select ให้ดูเหมือนช่องกรอกรหัสผ่าน จุดที่ทำให้การดักข้อมูลเกิดขึ้นแบบเรียลไทม์คือพฤติกรรมของ Firefox ที่รีเซ็ตตัวจับเวลาการเลือกตัวเลือกซึ่งยาวราวหนึ่งวินาที ทุกครั้งที่ตัว select ถูกเลื่อนออกนอกจอ ผลคือผู้โจมตีอ่านตัวอักษรที่เหยื่อพิมพ์ได้ทีละตัวแทนที่จะต้องรอให้พิมพ์จบ

Yahoo Mail และ AOL Mail เปิดช่องทางอีกแบบหนึ่ง บน Firefox เนื้อหา HTML ที่ถูกวางลงในกล่องเขียนข้อความอาจยังคง CSS ที่ทำงานได้อยู่ชั่วครู่ก่อนที่ตัวกรองจะทำงาน ในการสาธิตกับ Medium ผู้โจมตีเริ่มกระบวนการล็อกอินด้วยอีเมลก่อน จากนั้นเหยื่อคัดลอก CSS ที่ผู้โจมตีเตรียมไว้ไปยังคลิปบอร์ด แล้วนำไปวางในร่างจดหมายของ Yahoo หรือ AOL คำขอที่เกิดขึ้นจากการวางนั้นเปิดเผยข้อมูลของโทเคนล็อกอินความยาว 12 อักขระมากพอที่เซิร์ฟเวอร์ของผู้โจมตีจะประกอบกลับขึ้นมาใหม่และใช้ลงชื่อเข้าใช้แทนเหยื่อได้

งานวิจัยยังเสนอเทคนิคส่งข้อมูลออกโดยอาศัยการคลิก สำหรับกรณีที่นโยบาย Content Security Policy (CSP) บล็อกการเรียกทรัพยากรภายนอกไว้ หากผู้โจมตีฉีดสไตล์เข้าไปได้และมีโทเคนที่เป็นตัวเลขแสดงเป็นข้อความอยู่ในอีเมล CSS สามารถระบุได้ว่ามีเลขตัวใดปรากฏบ้างและปรากฏกี่ครั้ง จากนั้นซ่อนลิงก์ที่ไม่ตรงเงื่อนไข และปล่อยลิงก์ที่ตรงเงื่อนไขให้แผ่คลุมทั้งหน้า เมื่อเหยื่อคลิกที่ใดก็ตาม ข้อมูลตัวเลขและความถี่จะถูกส่งไปยังเซิร์ฟเวอร์ของผู้โจมตี

การเชื่อมต่อ AI เข้ากับอีเมลสร้างเส้นทางเพิ่มอีกทาง ฟังก์ชัน image-set() ของ Gmail มีกลไกสำรองที่ทำให้เกิดการเรียกทรัพยากรภายนอกได้แม้ผ่านการกรองแล้ว Heyes และนาย Pete Hendy เพื่อนร่วมงานที่ PortSwigger นำจุดนี้ไปต่อกับอีเมลที่ฝังคำสั่งแบบ indirect prompt injection ซึ่งถูกประมวลผลโดย Claude Cowork ของบริษัท Anthropic ผ่านคอนเนกเตอร์ Gmail ที่เชื่อมต่อไว้ ในการสาธิต ผู้โจมตีกระตุ้นให้ระบบส่งอีเมลยืนยันโทเคน Slack ออกมาก่อน จากนั้นเมื่อเหยื่อสั่งให้ Cowork ประมวลผลอีเมลในกล่องจดหมาย คำสั่งที่ถูกฝังไว้ก็ทำให้ระบบไปดึงโทเคนนั้นมาวางไว้ในร่างจดหมาย HTML และเมื่อเปิดดูร่างนั้น โทเคนก็รั่วออกไป

อีกการสาธิตหนึ่งบน Fastmail พุ่งเป้าไปที่เบราว์เซอร์ AI ชื่อ Atlas ของ OpenAI โดยใช้ pseudo-element ของ CSS ร่วมกับการตั้งค่าความโปร่งใส ทำให้สายตามนุษย์เห็นข้อความที่ไม่มีพิษภัย แต่โมเดลกลับอ่านคำสั่งที่ซ่อนอยู่ เมื่อผู้ใช้สั่งให้ Atlas แปลข้อความที่มองเห็น คำสั่งที่ซ่อนไว้ก็ทำให้ระบบเปิดแท็บใหม่และเข้ารหัสชื่อของเหยื่อไว้ในส่วน fragment ของ URL ทั้งนี้ OpenAI กำลังยุติการพัฒนา Atlas และระบุว่าจะหยุดทำงานในวันที่ 9 สิงหาคม 2569

ผลการค้นพบอื่น ๆ ได้แก่เทคนิคที่เรียกว่า CSS hotwiring บน Fastmail ซึ่งเปลี่ยนเส้นทางการคลิกของผู้ใช้ไปเป็นการกระทำบนอินเทอร์เฟซที่ไม่ได้ตั้งใจและอาจต่อเนื่องหลายขั้นตอน กับช่องทางเลี่ยงพร็อกซีรูปภาพของ Fastmail ด้วยการใช้แบ็กสแลชที่ถูก escape ซึ่งอาศัยโดเมน user.fm ที่อยู่ในรายการอนุญาต เพื่อให้ผู้ส่งรู้ได้ว่าอีเมลถูกเปิดอ่านเมื่อใด นอกจากนี้ Heyes ยังสาธิตช่องทางบน Proton Mail ที่เปิดเผยที่อยู่ไอพีของผู้รับ ซึ่งขัดกับเอกสารป้องกันการติดตามฉบับปัจจุบันของ Proton ที่ระบุว่าบริการถูกออกแบบมาเพื่อซ่อนไอพีส่วนตัวและเวลาที่เปิดอ่านอีเมลที่แน่นอนของผู้ใช้

ผลกระทบ

ผลกระทบที่ตรงที่สุดตกอยู่กับผู้ให้บริการเว็บเมล เพราะงานวิจัยชี้ว่าแนวทางป้องกันที่ใช้กันมานาน คือการกรองเนื้อหาอีเมลด้วยรายการอนุญาตของแท็กและคุณสมบัติ ไม่เพียงพออีกต่อไปเมื่อตัวแอปพลิเคชันเองมี JavaScript ที่นำผลลัพธ์ของการกรองไปสร้าง DOM ใหม่ในภายหลัง ปัญหาไม่ได้อยู่ที่ตัวกรองทำงานผิด แต่อยู่ที่ช่องว่างระหว่างสิ่งที่ตัวกรองอนุมัติกับสิ่งที่เบราว์เซอร์สร้างขึ้นจริง ซึ่งเป็นข้อบกพร่องเชิงสถาปัตยกรรมที่แก้ด้วยการเพิ่มกฎกรองทีละข้อไม่ได้

สำหรับองค์กรที่เริ่มเชื่อมผู้ช่วย AI เข้ากับกล่องจดหมายพนักงาน งานวิจัยนี้เป็นตัวอย่างรูปธรรมว่าความเสี่ยงเพิ่มขึ้นอย่างไร เมื่อระบบอ่านอีเมลแทนผู้ใช้ อีเมลที่ผู้โจมตีส่งเข้ามาก็กลายเป็นคำสั่งที่ระบบอาจเชื่อฟัง และเนื่องจากผู้ช่วยเหล่านี้มักถูกให้สิทธิ์เข้าถึงบริการอื่นพ่วงไว้ด้วย ผลของการฉีดคำสั่งจึงไม่จำกัดอยู่แค่ในกล่องจดหมาย แต่ลามไปถึงโทเคนของบริการที่เชื่อมต่ออยู่ ดังที่การสาธิตกับโทเคน Slack แสดงให้เห็น

ในการประเมินความเสี่ยงควรระวังไม่ตีความเกินหลักฐาน งานชิ้นนี้เป็นการวิจัยเชิงพิสูจน์แนวคิดที่นำเสนอในเวทีวิชาการ ไม่มีรายงานว่ามีผู้โจมตีนำไปใช้จริง ไม่มีตัวเลขจำนวนผู้ใช้ที่ได้รับผลกระทบ และไม่มีตัวบ่งชี้การบุกรุกให้นำไปตรวจสอบย้อนหลัง ขณะเดียวกันสถานะการแก้ไขก็ไม่ครบถ้วน ผู้ให้บริการบางรายแก้แล้ว บางรายยังไม่ชัดเจน และรายงานเองก็ไม่ได้ยืนยันว่าสายการดักรหัสผ่านบน Outlook ถูกปิดหรือยัง

คำแนะนำ

สำหรับผู้ให้บริการเว็บเมล งานวิจัยเสนอให้เริ่มจากการแยกส่วนอย่างเข้มงวด คือวางอีเมล HTML ไว้ใน iframe แบบแซนด์บ็อกซ์แทนการเรนเดอร์รวมกับอินเทอร์เฟซหลัก จากนั้นจึงใช้รายการอนุญาตระดับอักขระในการตรวจสอบ CSS ตรวจหา CSS gadget ก่อนอนุญาตให้ใช้ custom attribute บล็อกเมนู select และ selector ที่อันตราย รวมถึงป้องกันไม่ให้ผู้โจมตีควบคุมการเรียกรูปภาพและจำกัดโดเมนที่อนุญาตให้เรียกได้

สำหรับผู้ดูแลระบบขององค์กร ควรทบทวนว่าผู้ช่วย AI ที่เชื่อมต่อกับกล่องจดหมายได้รับสิทธิ์อะไรบ้าง และตัดสิทธิ์ที่ไม่จำเป็นออก โดยเฉพาะสิทธิ์เขียนหรือสร้างร่างจดหมาย ซึ่งในการสาธิตกลายเป็นช่องทางนำข้อมูลออก ควรกำหนดให้การกระทำที่ส่งข้อมูลออกนอกระบบต้องมีการยืนยันจากผู้ใช้ทุกครั้ง และควรถือว่าเนื้อหาในอีเมลขาเข้าเป็นข้อมูลที่ไม่น่าเชื่อถือเสมอเมื่อป้อนให้โมเดลประมวลผล

สำหรับผู้ใช้ทั่วไป ข้อควรระวังที่ใช้ได้ทันทีคืออย่ากรอกรหัสผ่านลงในช่องที่ปรากฏขึ้นภายในหน้าจออ่านอีเมล ให้เปิดแท็บใหม่แล้วพิมพ์ที่อยู่เว็บของบริการนั้นเองเสมอ และควรระวังเป็นพิเศษกับอีเมลที่ขอให้คัดลอกข้อความไปวางที่อื่น เพราะการสาธิตกับ Yahoo และ AOL อาศัยการที่เหยื่อคัดลอกและวางเนื้อหาของผู้โจมตีด้วยตัวเอง

แหล่งอ้างอิง