Vulnerabilidade no Microsoft Copilot Permitia Roubo de Códigos de Autenticação de Dois Fatores

Pesquisadores de segurança revelaram uma vulnerabilidade crítica no Microsoft Copilot chamada SearchLeak: os atacantes podiam roubar silenciosamente códigos de autenticação de dois fatores de uma única vez diretamente do email da vítima—sem sinais visíveis de comprometimento e sem participação do usuário.

Como funcionava o exploit

No cerne do ataque está a injeção de prompts, uma das classes de ameaças mais estudadas mas não resolvidas para sistemas LLM. A mecânica é simples e, portanto, especialmente perigosa: um atacante envia à vítima o que parece um email comum, dentro do qual há instruções maliciosas ocultas—disfarçadas como conteúdo de texto ou HTML. Quando o Microsoft Copilot processa este email no curso de suas tarefas rotineiras—resumindo mensagens de entrada, respondendo a solicitações de usuários ou simplesmente atualizando índices de email—as instruções incorporadas assumem o controle do assistente.

Tudo que se segue funciona contra a vítima: Copilot, tendo acesso completo ao ecossistema Microsoft 365—email, OneDrive, Teams, calendário—sob comando do email malicioso realizou buscas direcionadas para consultas como "código de confirmação," "código de verificação" ou "OTP." As mensagens encontradas—tipicamente emails de bancos, sistemas corporativos ou serviços online com senhas de uma única vez ativas—foram transferidas para o atacante por um canal de exfiltração pré-preparado. É este mecanismo que deu ao ataque seu nome, SearchLeak: vazamento através de busca.

Tudo acontece invisavelmente—Copilot se comporta normalmente, sem avisos.

Por que isso se repete

SearchLeak não é o primeiro incidente desse tipo com produtos LLM integrados em ambientes de trabalho. O problema não é um erro específico do desenvolvedor Microsoft—é arquitetural: o LLM recebe acesso irrestrito aos dados do usuário sem isolamento estrito e sem distinguir conteúdo "próprio" de "externo." Pontos vulneráveis-chave explorados por esta classe de ataques:

• LLM processa conteúdo não confiável—emails, documentos de terceiros—com os mesmos privilégios que instruções do proprietário da conta
• Busca e sumarização fornecem ao modelo acesso amplo aos dados pessoais e corporativos
• Mecanismos de exfiltração—formação de URLs externas, requisições HTTP ocultas—geralmente não são filtrados pelo sistema
• Sem distinção rigorosa entre "instrução de usuário confiável" e "conteúdo recebido de fonte externa"

Vulnerabilidades semelhantes já foram corrigidas em ChatGPT Plugins, Google Gemini para Workspace e outros assistentes de IA com acesso de dados expandido. O padrão é um e o mesmo: quanto mais ampla a integração—maior a superfície de ataque.

Posição da Microsoft

De acordo com Ars Technica, os pesquisadores revelaram a vulnerabilidade à Microsoft através de divulgação coordenada—antes da publicação do artigo. A empresa lançou um patch, porém os detalhes técnicos das medidas protetoras permanecem não divulgados.

"SearchLeak mostra claramente: você não pode dar a LLMs acesso a dados

sensíveis sem restrições rigorosas de sandbox", enfatizam os autores da pesquisa.

A Microsoft posiciona o Copilot precisamente através de sua integração profunda com email, Teams, arquivos e calendário—esta é a proposição de valor central do produto. E isto cria risco estrutural: recusar a integração significaria perder o valor do produto, construir isolamento é difícil mas necessário.

O que isso significa

Conforme os assistentes de IA recebem acesso cada vez mais amplo aos dados corporativos, os ataques de injeção de prompts se repetirão—isto não é um bug de um produto específico mas um problema estrutural para toda a indústria. Os usuários corporativos devem reconsiderar o nível de acesso do Copilot ao email e dados sensíveis, e os desenvolvedores de produtos de IA devem tratar seriamente o padrão de isolamento de LLMs do conteúdo externo não confiável.