Email Bisa Curi Password Tanpa JavaScript

Email Bisa Curi Password Tanpa JavaScript – Selama ini, serangan melalui email sering dikaitkan dengan tautan berbahaya, lampiran malware, atau halaman login palsu.

Namun, teknik baru menunjukkan bahwa email berbahaya tidak selalu membutuhkan JavaScript atau malware untuk melakukan aksi berbahaya.

Peneliti menemukan teknik yang disebut “CSS bomb”, yaitu serangan yang memanfaatkan HTML dan CSS, komponen yang sebenarnya digunakan untuk mengatur tampilan email untuk memanipulasi antarmuka webmail, memantau aktivitas pengguna, bahkan berpotensi mencuri password secara real time.

Yang membuat teknik ini menarik sekaligus berbahaya adalah kemampuannya memanfaatkan fitur yang memang dipercaya oleh layanan email untuk menampilkan format pesan.

CSS Tidak Lagi Sekadar Mengatur Tampilan

CSS atau Cascading Style Sheets pada dasarnya digunakan untuk mengatur bagaimana sebuah halaman atau email ditampilkan, seperti warna, ukuran teks, posisi elemen, dan tata letak.

Namun, penelitian yang dilakukan menunjukkan bahwa fitur-fitur CSS tertentu dapat dimanfaatkan dengan cara yang tidak biasa.

Penelitian tersebut menguji bagaimana sejumlah layanan webmail seperti:

• Gmail.
• Outlook.
• Yahoo Mail.
• AOL Mail.
• Fastmail.
• ProtonMail

Bagaimana memproses HTML serta CSS yang terdapat dalam email.

Layanan email memang memiliki mekanisme sanitization untuk menghapus kode yang dianggap berbahaya.

Tujuannya agar pengguna tetap dapat melihat email dengan format yang menarik tanpa memberikan kesempatan kepada pengirim untuk menjalankan kode berbahaya.

Masalahnya, terdapat perbedaan antara apa yang dianggap aman oleh sanitizer dan bagaimana browser akhirnya memproses kode tersebut.

Perbedaan inilah yang kemudian dapat dimanfaatkan sebagai celah.

CSS Bisa Berubah Menjadi Keylogger

Salah satu bagian paling menarik dari teknik CSS bomb adalah kemampuannya menciptakan mekanisme yang menyerupai keylogger.

Penyerang dapat memanfaatkan sejumlah fitur CSS, termasuk:

• Attribute selectors
• Pseudo-elements seperti :before dan :after
• :has()
• :checked
• Manipulasi elemen select dan label

Teknik tersebut dapat digunakan untuk membuat elemen di dalam email terlihat seperti kotak login atau kolom password.

Ketika korban mengetik sesuatu, setiap karakter dapat memicu aturan CSS tertentu. Aturan tersebut kemudian dapat menyebabkan browser melakukan permintaan background image ke server yang dikendalikan penyerang.

Dengan cara tersebut, karakter yang diketik korban dapat dikirim secara bertahap kepada penyerang. Yang perlu digarisbawahi, teknik ini tidak membutuhkan JavaScript.

Tidak Membutuhkan JavaScript Masalah

JavaScript merupakan salah satu komponen yang biasanya diperhatikan ketika sistem keamanan memeriksa konten web atau email.

Banyak mekanisme keamanan mencoba membatasi atau menghapus script berbahaya sebelum email ditampilkan.

CSS bomb mencoba mengambil jalur berbeda. Alih-alih menjalankan JavaScript, serangan memanfaatkan kemampuan CSS dan elemen HTML yang masih diperbolehkan oleh sistem sanitization.

Penelitian sebelumnya mengenai CSS keylogger memang pernah dilakukan, tetapi terdapat keterbatasan karena browser tidak selalu memperbarui atribut HTML ketika pengguna mengetik pada kolom input sebenarnya.

Penelitian terbaru mengatasi keterbatasan tersebut dengan memanfaatkan elemen seperti select dan HTML label, sehingga memungkinkan pembuatan mekanisme pengambilan karakter secara real time.

Bukan Hanya Mencuri Password

Kemampuan CSS bomb tidak berhenti pada pencurian karakter. Penelitian juga menemukan sejumlah teknik yang dapat digunakan untuk memanipulasi antarmuka webmail.

Pada Outlook, misalnya, ditemukan teknik yang memungkinkan sebuah CSS gadget keluar dari area email dan menampilkan halaman login Microsoft palsu yang terlihat meyakinkan.

Pada Fastmail, teknik yang disebut CSS hotwiring dapat digunakan untuk membajak klik tertentu pada halaman sehingga tindakan yang tidak diinginkan dapat dipicu.

Peneliti juga menemukan teknik yang memungkinkan aktivitas pengguna dipantau, termasuk mengetahui apakah sebuah email telah dibuka.

Artinya, CSS dalam konteks ini bukan sekadar persoalan tampilan. Dengan kombinasi teknik tertentu, komponen tersebut dapat menjadi bagian dari rantai serangan yang lebih kompleks.

Mengapa Serangan Ini Sulit Dideteksi?

Salah satu persoalan terbesar adalah teknik ini menggunakan komponen yang secara normal memang terdapat dalam email.

Serangan tidak bergantung pada:

• File executable;
• JavaScript;
• Aplikasi malware tradisional;
• Instalasi software oleh korban.

Karena itu, mekanisme keamanan yang terutama berfokus pada JavaScript atau malware tradisional berpotensi tidak mendeteksi seluruh bentuk penyalahgunaan CSS dan HTML.

Penelitian juga menemukan teknik yang berkaitan dengan image proxy pada Gmail dan ProtonMail.

Bahkan terdapat proof-of-concept yang menggabungkan kerentanan Gmail dengan teknik AI browser prompt injection untuk mengambil token autentikasi Slack melalui asisten email berbasis AI.

Namun, bagian ini merupakan demonstrasi penelitian dan tidak berarti setiap email yang menggunakan CSS dapat melakukan serangan tersebut.

Bagaimana Serangan CSS Bomb Bisa Terjadi?

Secara sederhana, alurnya dapat digambarkan sebagai berikut:

Email berbahaya → HTML/CSS diproses webmail → elemen email dimanipulasi → korban berinteraksi → CSS memicu permintaan tertentu → informasi dikirim ke server penyerang.

Hal yang membuatnya berbeda dari serangan email konvensional adalah sebagian proses dapat berlangsung melalui mekanisme rendering email itu sendiri.

Korban bahkan tidak selalu menyadari bahwa elemen yang dilihat atau digunakan dalam email telah dimanipulasi.

Apa yang Harus Dilakukan Pengguna?

Walaupun penelitian ini menemukan teknik yang cukup canggih, pengguna tetap memiliki beberapa langkah sederhana untuk mengurangi risikonya.

1. Jangan memasukkan password ke dalam formulir di email

Ini merupakan aturan yang sangat penting. Jika sebuah email menampilkan kotak login atau meminta Anda memasukkan password, jangan langsung mengisinya.

Untuk login, buka situs atau aplikasi resmi layanan tersebut melalui jalur yang Anda kenal.

2. Waspadai halaman login yang muncul di dalam email

Tampilan yang menyerupai halaman login bukan bukti bahwa halaman tersebut benar-benar berasal dari penyedia layanan.

Perhatikan konteksnya. Jika tiba-tiba email meminta Anda login untuk melihat dokumen, memeriksa akun, atau menyelesaikan masalah tertentu, jangan terburu-buru memasukkan kredensial.

3. Pertimbangkan menonaktifkan pemuatan gambar otomatis

Penelitian mengenai CSS bomb memanfaatkan permintaan sumber daya tertentu, termasuk background image request.

Karena itu, menonaktifkan pemuatan konten eksternal secara otomatis dapat menjadi salah satu lapisan perlindungan tambahan.

Namun, langkah ini bukan solusi tunggal untuk seluruh jenis serangan email.

4. Jangan percaya hanya karena email terlihat normal

Email dapat terlihat sangat profesional, lengkap dengan logo, warna perusahaan, tombol, gambar, dan tata letak yang rapi.

Tampilan tersebut tidak menjamin bahwa email aman. Justru dalam serangan modern, penyerang berusaha membuat pesan terlihat senormal mungkin.

5. Selalu perbarui browser dan layanan email

Kerentanan pada webmail dapat diperbaiki melalui pembaruan layanan dan browser. Karena itu, pastikan browser yang digunakan selalu mendapatkan pembaruan terbaru.

Yang Harus Dilakukan Penyedia Layanan Email?

Penelitian ini juga memberikan pelajaran penting bagi penyedia layanan email. Beberapa pendekatan yang disarankan antara lain:

1. Menempatkan konten email yang tidak dipercaya di dalam sandboxed iframe.
2. Membatasi pemuatan gambar atau konten eksternal secara otomatis.
3. Membatasi CSS selector berisiko seperti :has() dan :checked.
4. Membatasi atribut HTML khusus yang berpotensi digunakan untuk melewati mekanisme sanitasi.
5. Memastikan bahwa HTML dan CSS yang lolos sanitasi tetap aman ketika diproses oleh browser.

Sejumlah kelemahan yang ditemukan dalam penelitian telah dilaporkan kepada penyedia layanan melalui program bug bounty dan beberapa di antaranya telah diperbaiki, termasuk sejumlah masalah pada Fastmail.

Namun, penelitian tersebut menyebutkan bahwa beberapa masalah, termasuk teknik manipulasi label pada Outlook, masih belum terselesaikan pada saat laporan dibuat.

Email Biasa Permukaan Serangan Baru

Penemuan CSS bomb menunjukkan bahwa keamanan email tidak cukup hanya dengan memeriksa apakah sebuah pesan mengandung malware atau JavaScript berbahaya.

HTML dan CSS yang selama ini dianggap sebagai bagian dari tampilan email ternyata juga dapat menjadi permukaan serangan.

Bagi pengguna, hal ini tidak berarti setiap email dengan format HTML harus dicurigai sebagai serangan. Risiko tersebut tetap membutuhkan kondisi dan teknik tertentu, dan beberapa kelemahan yang ditemukan telah mendapatkan perbaikan.

Namun, ada satu kebiasaan yang tetap sangat penting: jangan pernah memasukkan kredensial ke dalam formulir login yang muncul secara tiba-tiba di dalam email.

Jika email meminta Anda login, ubah password, memverifikasi akun, atau mengakses layanan tertentu, lakukan proses tersebut melalui aplikasi atau situs resmi yang Anda buka secara langsung.

Di sisi lain, perkembangan CSS bomb menjadi pengingat bahwa pertahanan terhadap ancaman email harus terus berkembang.

Ketika penyerang tidak lagi membutuhkan JavaScript atau malware untuk memanipulasi pengalaman pengguna, maka keamanan email juga harus melihat lebih jauh daripada sekadar “apakah email ini mengandung file berbahaya?”

Karena terkadang, yang berbahaya bukanlah file yang Anda unduh, melainkan bagaimana email tersebut berinteraksi dengan browser ketika Anda membukanya.

Sumber berita:

WeLiveSecurity