Falha ja corrigida podia liberar emails, arquivos e codigos MFA apos um clique.
Uma falha no Microsoft 365 Copilot permitia que um atacante usasse um link legitimo da microsoft.com para acessar informacoes da conta da vitima. O risco envolvia emails, arquivos, compromissos de calendario e ate codigos de autenticacao multifator. A Microsoft corrigiu o problema em seus servidores, mas o caso reforca que ate links confiaveis precisam de verificacao.
Pesquisadores da Varonis Threat Labs encontraram uma vulnerabilidade no Microsoft 365 Copilot capaz de expor informacoes sensiveis com um unico clique. O ataque nao dependia de um dominio estranho nem de uma pagina obviamente falsa. O link apontava para um endereco real da microsoft.com, e era justamente isso que aumentava a chance de driblar os filtros tradicionais de phishing.
Os dados em risco incluiam emails, detalhes de calendario, arquivos encontrados pela busca do Copilot e codigos de autenticacao multifator. A Microsoft ja corrigiu a falha no lado do servico, mas o episodio serve de alerta: empresas precisam revisar comportamentos parecidos para fechar novos caminhos de vazamento.
A cadeia de ataque recebeu o nome de SearchLeak e juntava tres problemas distintos em uma unica rota. O ponto de partida era um parametro na URL do Copilot. Em vez de tratar esse parametro apenas como uma busca comum, o sistema podia interpreta-lo como uma instrucao.
Na pratica, o atacante montava um link com aparencia legitima. Quando a vitima clicava, o Copilot podia ser manipulado para responder de forma indevida e revelar informacoes que deveriam ficar restritas a conta da pessoa. O detalhe critico esta na combinacao: o perigo nao era so o clique, mas o uso de um dominio confiavel somado a forma como o Copilot processava a consulta.
Como o link parecia oficial, a deteccao depende de observar o comportamento depois do clique. Fique atento a situacoes como:
A falha especifica ja foi corrigida pela Microsoft, mas a resposta nao pode parar em esperar atualizacoes. Oriente a equipe a desconfiar de qualquer link que peca uma acao fora do normal, mesmo quando o dominio parece oficial. Revise tambem os alertas de acesso no ambiente Microsoft 365 e investigue atividades fora do padrao em caixas de email e arquivos compartilhados.
Outra medida essencial e manter a autenticacao multifator ativa, de preferencia com Microsoft Authenticator. Ainda assim, trate os codigos MFA como dados sensiveis: eles nunca devem ser compartilhados em chats, emails ou paginas abertas a partir de links recebidos.
Segundo as informacoes disponiveis, a Microsoft ja corrigiu a vulnerabilidade em seus servidores. Mesmo assim, vale revisar alertas e acessos recentes para identificar possiveis sinais de abuso.
O ponto central foi o clique em um link legitimo da microsoft.com. A partir desse clique, a falha podia liberar acesso indevido aos dados que o Copilot conseguia consultar.
Porque o link usava um dominio real da Microsoft. Muitos filtros confiam mais em dominios conhecidos, e ataques que abusam de servicos legitimos acabam mais dificeis de perceber.
A LC SEC ajuda sua organizacao a avaliar riscos em Microsoft 365, revisar controles de MFA e preparar equipes para reconhecer ataques que abusam de links e servicos legitimos.
Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io
Fontes:
https://mfa2go.com/blog/falha-no-microsoft-365-copilot-expoe-emails-e-arquivos-1735689600