Una vulnerabilidad en Microsoft Copilot permitía robar códigos de autenticación de dos factores

Investigadores de seguridad han revelado una vulnerabilidad crítica en Microsoft Copilot, bautizada SearchLeak: los atacantes podían robar de forma discreta los códigos de un solo uso de la autenticación de dos factores directamente del correo electrónico de la víctima, sin señales evidentes de intrusión y sin que el propio usuario participara.

Cómo funcionaba el exploit

El ataque se basa en la inyección de prompts (prompt injection), una de las clases de amenazas más estudiadas y aún sin resolver para los sistemas LLM. El mecanismo es sencillo y, por eso, especialmente peligroso: el atacante envía a la víctima un correo de apariencia normal con instrucciones maliciosas ocultas, camufladas como texto o contenido HTML. Cuando Microsoft Copilot procesa ese correo en sus tareas habituales (resumir la bandeja de entrada, responder a una consulta del usuario o simplemente actualizar el índice del correo), las instrucciones incrustadas toman el control del asistente.

A partir de ahí, todo funciona en contra de la víctima. Copilot, con acceso completo al ecosistema de Microsoft 365 (correo, OneDrive, Teams, calendario), ejecutaba por orden del correo malicioso búsquedas dirigidas con consultas como "código de confirmación" ("код подтверждения"), "verification code" u "OTP". Los mensajes encontrados, por lo general correos de bancos, sistemas corporativos o servicios en línea con contraseñas de un solo uso vigentes, se enviaban al atacante a través de un canal de exfiltración preparado de antemano. De ese mecanismo viene el nombre SearchLeak: fuga a través de la búsqueda.

Todo ocurre de forma imperceptible. Copilot se comporta como siempre y no aparece ninguna advertencia.

Por qué se repite una y otra vez

SearchLeak no es el primer caso de este tipo con productos LLM integrados en entornos de trabajo. El problema no es un error concreto de los desarrolladores de Microsoft, sino arquitectónico: el LLM recibe acceso ilimitado a los datos del usuario sin un aislamiento estricto y sin distinguir el contenido "propio" del "ajeno".

Los puntos débiles clave que explota esta clase de ataques:

• El LLM procesa contenido no confiable (correos, documentos de terceros) con los mismos privilegios que las instrucciones del propietario de la cuenta
• La búsqueda y el resumen dan al modelo un acceso amplio a datos personales y corporativos
• Los mecanismos de exfiltración, como la generación de URL externas o las solicitudes HTTP ocultas, a menudo no son filtrados por el sistema
• No hay una separación estricta entre la "instrucción de confianza del usuario" y el "contenido procedente de una fuente externa"

Ya se han documentado vulnerabilidades similares en ChatGPT Plugins, Google Gemini for Workspace y otros asistentes de IA con acceso ampliado a datos. El patrón es el mismo: cuanto más amplia la integración, mayor la superficie de ataque.

La postura de Microsoft

Según Ars Technica, los investigadores comunicaron la vulnerabilidad a Microsoft mediante un procedimiento de divulgación coordinada (coordinated disclosure), antes de la publicación. La compañía lanzó un parche, pero los detalles técnicos de las medidas de protección siguen sin hacerse públicos.

"SearchLeak demuestra con claridad que no se debe dar a los LLM acceso

a datos sensibles sin restricciones estrictas de sandbox", subrayan los autores del estudio.

Microsoft posiciona Copilot precisamente por su profunda integración con el correo, Teams, los archivos y el calendario; es la principal propuesta de valor del producto. Y eso mismo crea un riesgo estructural: renunciar a la integración le quitaría sentido al producto, y construir el aislamiento es difícil, pero necesario.

Qué significa

Mientras los asistentes de IA obtengan un acceso cada vez más amplio a los datos corporativos, los ataques de inyección de prompts seguirán repitiéndose. No es un fallo de un producto concreto, sino un problema estructural de todo el sector. Los usuarios corporativos deberían revisar el nivel de acceso de Copilot al correo y a los datos sensibles, y los desarrolladores de productos de IA, tomarse en serio un estándar para aislar los LLM del contenido externo no confiable.