Vulnerabilidad en Microsoft 365 Copilot: robo de datos en 1 clic

Vulnerabilidad en Microsoft 365 Copilot: investigadores de Varonis revelaron SearchLeak (CVE-2026-42824), una cadena de tres fallos que convierte al asistente de IA en una herramienta de robo de datos con un solo clic. Además, el ataque no requiere malware ni credenciales: basta con que la víctima abra un enlace malicioso. En consecuencia, miles de organizaciones que ya integraron Copilot en su flujo diario quedan expuestas.

Cómo funciona la vulnerabilidad en Microsoft 365 Copilot

Por su parte, la cadena encadena inyección de parámetros, una condición de carrera en el renderizado HTML y una evasión de la política de seguridad de contenido (CSP). De este modo, el atacante engaña a Copilot para que consulte datos internos del usuario y los filtre hacia un servidor externo. No obstante, todo ocurre dentro de la sesión legítima de la víctima, lo que dificulta su detección.

De hecho, el nombre SearchLeak alude a que la fuga se produce a través de la función de búsqueda del asistente. Asimismo, la información expuesta puede incluir correos, archivos y mensajes a los que Copilot tiene acceso autorizado.

Por qué este ataque marca un antes y un después

Por otro lado, SearchLeak confirma una tendencia clara: los asistentes de IA empresariales se están convirtiendo en una nueva superficie de ataque. En la práctica, cuanto más acceso damos a un copiloto, mayor es el daño potencial si se compromete. Por lo tanto, la integración acelerada de IA exige controles de seguridad equivalentes.

Aun así, lo más preocupante es la simplicidad del vector: un único clic basta para activar la exfiltración. En consecuencia, las campañas de phishing podrían adoptar esta técnica con rapidez.

Cómo protegerse de la vulnerabilidad en Microsoft 365 Copilot

Finalmente, Microsoft ya corrigió la cadena, por lo que aplicar las últimas actualizaciones es la prioridad inmediata. Además, conviene revisar los permisos que cada usuario concede a Copilot y reforzar la formación contra phishing. Puedes encontrar más artículos sobre seguridad en internet en nuestro blog.

En definitiva, esta vulnerabilidad en Microsoft 365 Copilot recuerda que cada nueva capa de IA debe auditarse como cualquier otro componente crítico del entorno corporativo.

Recuerda que estaremos publicando constantemente en nuestro blog más contenido sobre tecnología.

Facebook y LinkedIn para más contenido relacionado con seguridad en internet y muchos temas más.

Fuentes: Varonis, BleepingComputer.