« De petites retouches CSS peuvent aider les e-mails malveillants à passer à travers le filet anti-hameçonnage d’Outlook. »

Les chercheurs affirment que les cybercriminels peuvent contourner une des mesures anti-hameçonnage de Microsoft dans Outlook en s’amusant avec quelques ajustements simples de CSS. William Moody, consultant en sécurité informatique chez Certitude, a blogué aujourd’hui sur le fait que le Conseil de sécurité du premier contact – une bannière affichée dans Outlook lorsque l’utilisateur reçoit un message d’une adresse qui ne le contacte généralement pas – peut être masqué (en grande partie) en utilisant des balises de style CSS. Étant donné que le Conseil de sécurité du premier contact est ajouté au code HTML d’un email avant le contenu du message, un fraudeur n’aurait qu’à créer un email entièrement en HTML, en modifiant à la fois l’arrière-plan et la police de la bannière en blanc, et voilà, la bannière existe toujours mais n’est plus visible. Moody a déclaré : « Bien que l’application de certaines règles CSS plus courantes telles que display: none, height: 0px et opacity: 0 à la table elle-même semble ne pas fonctionner, que ce soit en raison du CSS en ligne dans les éléments ou en raison du manque de prise en charge par le moteur de rendu utilisé par Outlook, il est possible de changer les couleurs d’arrière-plan et de police en blanc de sorte que l’alerte soit pratiquement invisible lorsque l’email est affiché à l’utilisateur final consultent l’email. » Le seul inconvénient de cette méthode est que l’aperçu de l’email affiché dans le volet de gauche dans Outlook affichera toujours le message du Conseil de sécurité du premier contact en petit texte gris sous l’aperçu du corps de l’email.