Les emails HTML présentent des failles de sécurité exploitables par des kobold letters, éléments cachés s’affichant après transfert. Thunderbird et OWA sont vulnérables, Gmail partiellement protégé. Désactiver le HTML ou utiliser un mode restreint limite les risques.