网络安全公司 Cisco Talos 于 2025 年 3 月 13 日发布的一份报告显示，网络犯罪分子正在利用级联样式表 (CSS) 绕过垃圾邮件过滤器并跟踪电子邮件用户的行为。
Talos 研究员 Omid Mirzaei 表示，攻击者使用文本缩进和不透明度等 CSS 属性来隐藏电子邮件正文中出现的无关内容。
这种技术被称为“隐藏文本加盐”，它利用 HTML 和 CSS 中的合法功能，通过包含在电子邮件客户端中呈现时受害者看不到的注释和无关内容来迷惑解析器和检测引擎。据 Cisco Talos 称，自 2024 年底以来，此类攻击一直在增加。
此外，攻击者还可以通过嵌入 @media CSS at-rules 等 CSS 属性、跟踪字体和颜色偏好等行为、识别客户端语言以及电子邮件查看和打印等方式，通过垃圾邮件监控用户行为。这使得检测用户环境的特定属性成为可能，例如屏幕尺寸、分辨率和颜色深度。
为了降低此类威胁的风险，思科 Talos 建议实施高级过滤机制来检测隐藏文本加盐和内容隐藏，以及使用电子邮件隐私代理。
从：网络犯罪分子利用 CSS 逃避垃圾邮件过滤器并跟踪电子邮件用户的操作
【编辑部评论】
CSS 最初是一种用于精美设计网页和电子邮件的技术，但网络犯罪分子正在利用其功能来建立新的攻击方法。此次思科Talos透露“隐藏文本加盐已经证实，自2024年下半年以来，名为````的方法数量一直在快速增加，并且这种趋势一直持续到2025年。
这种攻击方法的复杂之处在于它使用了人眼看不见的元素。例如，您可以通过将 text-indent 属性设置为极值（如 -9999px）将文本推出屏幕，或者通过将 opacity 属性设置为 0 使其完全透明。这会使垃圾邮件过滤器和安全系统感到困惑。
网络钓鱼电子邮件越来越多地使用这些技术来逃避检测系统。尤其要警惕假装来自金融机构或安全服务机构的电子邮件。攻击者还使用技术通过在品牌名称之间插入不可见字符来绕过品牌名称检测系统。
更有趣的是使用 CSS 进行用户跟踪的方法。即使 JavaScript 有限的电子邮件客户端也可以按规则使用 CSS 媒体来收集用户的屏幕尺寸、分辨率和颜色深度等信息。您还可以通过检查特定字体是否存在来识别您正在使用的操作系统。例如，Windows 中常见的是“Segoe UI”字体，macOS 中常见的是“Helvetica Neue”字体，因此可以通过检测这些字体来确定操作系统。
这项技术的影响范围非常广泛，对企业的安全态势提出了重大挑战。传统的垃圾邮件过滤器和安全网关很难检测到，因此许多组织可能会在不知不觉中受到影响。
然而，重要的是要了解这些技术也可以用于营销活动，而不一定用于恶意目的。它还可用于跟踪用户参与度并优化未来的活动。
作为对策，建议引入先进的过滤技术，详细扫描 HTML 电子邮件的结构。电子邮件安全解决方案不仅可以检测内容，还可以检测 CSS 属性（例如“可见性：隐藏”）的极端使用，这是有效的。引入人工智能驱动的防御系统也将是一种有效的对策。
对于个人用户，使用电子邮件隐私代理也是一种选择。这些代理将 CSS 规则转换为样式属性并重写远程资源以防止跟踪。
随着技术的发展，攻击方法变得更加复杂，预计这些 CSS 滥用方法将继续发展。提高安全意识并采用最新的防御技术将是在数字时代安全生存的关键。
【术语解释】
CSS（层叠样式表）:
一种用于指定网页设计和布局的语言。 HTML 定义文档的结构，而 CSS 则决定文档的外观。 “层叠”是指多个样式定义重叠时的优先级系统。
隐藏文本加盐:
一种在电子邮件中嵌入人类不可见但机器可读的文本以逃避垃圾邮件过滤器的方法。 “加盐”是指添加与原始消息无关的字符串，例如“盐”。
指纹识别:
收集浏览器和系统特征以识别用户和设备的技术。例如，它是一种收集和识别每个数字设备的独特特征（例如人类指纹）的方法。
文本缩进:
指定第一行文本缩进的 CSS 属性。攻击者可以将其设置为极值（例如-9999px）以强制文本离开屏幕。
不透明度:
指定透明度的 CSS 属性。值为 0 使其完全透明，值为 1 使其完全不透明。攻击者可以将其设置为 0 以使文本不可见。
@媒体规则:
根据不同媒体类型和设备特性应用样式的 CSS 规则。例如，您可以根据屏幕尺寸和分辨率应用不同的样式。
[参考链接]
思科塔洛斯（外部）
由思科系统公司运营的全球最大的威胁情报团队之一
瓦德安全（外部）
使用人工智能提供反网络钓鱼解决方案的电子邮件安全公司
[编者后记]
这些先进的跟踪技术可能隐藏在您偶然收到的 HTML 电子邮件中。您通常将电子邮件显示格式设置为 HTML 还是纯文本？另外，您是否考虑过安全措施，例如以纯文本显示重要电子邮件？现在可能是检查您的电子邮件客户端设置的好时机。如果您对最近的网络安全措施有任何疑问，请在社交媒体上分享。