Falha no Microsoft Copilot permitia roubar códigos de autenticação de dois fatores

Pesquisadores de segurança revelaram uma vulnerabilidade crítica no Microsoft Copilot, batizada de SearchLeak: invasores podiam roubar discretamente códigos de uso único da autenticação de dois fatores direto do e-mail da vítima, sem sinais evidentes de invasão e sem qualquer participação do próprio usuário.

Como o exploit funcionava

O ataque se baseia em prompt injection, uma das classes de ameaça mais estudadas e ainda não resolvidas para sistemas com LLMs. O mecanismo é simples e, por isso, especialmente perigoso: o invasor envia à vítima um e-mail de aparência comum, com instruções maliciosas escondidas, disfarçadas de texto ou conteúdo HTML. Quando o Microsoft Copilot processa esse e-mail em suas tarefas habituais (resumir a caixa de entrada, responder a uma solicitação do usuário ou simplesmente atualizar o índice do e-mail), as instruções embutidas assumem o controle do assistente.

Daí em diante, tudo funciona contra a vítima. O Copilot, com acesso total ao ecossistema do Microsoft 365 (e-mail, OneDrive, Teams, calendário), executava, por comando do e-mail malicioso, buscas direcionadas por termos como "código de confirmação" ("код подтверждения"), "verification code" ou "OTP". As mensagens encontradas, em geral e-mails de bancos, sistemas corporativos ou serviços on-line com senhas de uso único válidas, eram enviadas ao atacante por um canal de exfiltração preparado previamente. É desse mecanismo que vem o nome SearchLeak: vazamento via busca.

Tudo acontece de forma imperceptível. O Copilot se comporta como sempre e não há nenhum aviso.

Por que isso se repete

O SearchLeak não é o primeiro caso do tipo com produtos de LLM integrados a ambientes de trabalho. O problema não é um erro específico dos desenvolvedores da Microsoft, e sim arquitetural: o LLM recebe acesso irrestrito aos dados do usuário, sem isolamento rigoroso e sem separar o conteúdo "próprio" do "alheio".

Os principais pontos vulneráveis que essa classe de ataque explora:

• O LLM processa conteúdo não confiável (e-mails, documentos de terceiros) com os mesmos privilégios das instruções do dono da conta
• Busca e sumarização dão ao modelo amplo acesso a dados pessoais e corporativos
• Mecanismos de exfiltração, como a formação de URLs externas e requisições HTTP ocultas, muitas vezes não são filtrados pelo sistema
• Não há separação rigorosa entre a "instrução confiável do usuário" e o "conteúdo vindo de fonte externa"

Vulnerabilidades semelhantes já foram registradas no ChatGPT Plugins, no Google Gemini for Workspace e em outros assistentes de IA com acesso ampliado a dados. O padrão é o mesmo: quanto mais ampla a integração, maior a superfície de ataque.

A posição da Microsoft

Segundo o Ars Technica, os pesquisadores comunicaram a vulnerabilidade à Microsoft por meio de um procedimento de divulgação coordenada (coordinated disclosure), antes da publicação. A empresa lançou um patch, mas os detalhes técnicos das medidas de proteção continuam fechados.

"O

SearchLeak mostra claramente que não se deve dar aos LLMs acesso a dados sensíveis sem restrições rigorosas de sandbox", destacam os autores do estudo.

A Microsoft posiciona o Copilot justamente pela sua profunda integração com e-mail, Teams, arquivos e calendário; essa é a principal proposta de valor do produto. E é isso que cria o risco estrutural: abrir mão da integração tiraria o sentido do produto, e construir o isolamento é difícil, mas necessário.

O que isso significa

Enquanto os assistentes de IA ganharem acesso cada vez mais amplo a dados corporativos, ataques de prompt injection continuarão se repetindo. Não é um bug de um produto específico, mas um problema estrutural de todo o setor. Usuários corporativos devem rever o nível de acesso do Copilot ao e-mail e a dados sensíveis, e os desenvolvedores de produtos de IA precisam levar a sério um padrão de isolamento dos LLMs em relação a conteúdo externo não confiável.