Em junho de 2026, a Varonis Threat Labs publicou os detalhes de uma cadeia de falhas no Microsoft 365 Copilot Enterprise batizada de SearchLeak. Com um único clique em um link, um atacante conseguia extrair e-mails, arquivos e até códigos de autenticação multifator de uma vítima — sem que ela digitasse um único prompt.
Não era a primeira vez. Um ano antes, a EchoLeak havia demonstrado algo ainda mais grave: exfiltração de dados via Copilot sem clique nenhum. Bastava o assistente processar um e-mail malicioso.
Duas falhas, um padrão: o Copilot não precisa ser “hackeado” para vazar dados. Ele só precisa fazer exatamente o que foi projetado para fazer — em um ambiente com permissões que ninguém revisou.
O que aconteceu, em ordem
EchoLeak (CVE-2025-32711) — divulgada pela Aim Security em 2025, foi o primeiro ataque zero-click documentado contra um assistente de IA corporativo. Um e-mail cuidadosamente redigido, sem anexo nem link clicável, continha instruções ocultas que o Copilot interpretava como comandos legítimos ao processar a caixa de entrada da vítima. O assistente buscava dados internos sensíveis e os embutia na própria resposta, que o atacante conseguia recuperar. A vítima nunca precisou agir.
SearchLeak (CVE-2026-42824) — divulgada pela Varonis em junho de 2026, elevou a régua técnica. A cadeia combina três falhas distintas:
- Injeção parâmetro-para-prompt: o parâmetro de busca de uma URL do Copilot era passado diretamente ao modelo como instrução executável, sem sanitização.
- Condição de corrida na renderização HTML: uma tag de imagem disparava antes que o filtro de segurança do Copilot terminasse de higienizar a resposta.
- Bypass de CSP via SSRF do Bing: o endpoint de busca de imagens do Bing executava uma requisição no lado do servidor para um endereço controlado pelo atacante, contornando a política de segurança de conteúdo.
O resultado prático: um clique em um link aparentemente inofensivo — e o atacante recuperava e-mails, arquivos e códigos de MFA da vítima, exfiltrados através da própria infraestrutura da Microsoft.
A Microsoft classificou a falha como crítica e já publicou a correção. Mas SearchLeak é, segundo a própria pesquisa, a terceira cadeia de exfiltração zero-click ou one-click contra o Copilot desde junho de 2025 — depois de EchoLeak e da campanha conhecida como “Reprompt”.
O padrão que se repete: em nenhum dos três casos o atacante precisou comprometer uma credencial, escalar privilégio ou instalar malware. Bastou manipular o que o Copilot já tinha permissão de ler — em nome do usuário, dentro do escopo que a organização concedeu a ele.
Por que o CVE é só metade da história
Toda cobertura de imprensa sobre EchoLeak e SearchLeak foca — corretamente — na engenharia da falha: o parâmetro mal sanitizado, a condição de corrida, o bypass de CSP. A Microsoft corrige essas falhas, e corrige rápido.
Mas existe uma variável que a Microsoft não controla e nenhum patch resolve: o tamanho do que cada exploração consegue alcançar depende inteiramente das permissões que o usuário já tinha antes do ataque.
Um patch fecha a porta de entrada. Não reduz o que existe do outro lado dela. Se o usuário explorado tinha acesso herdado a uma pasta financeira de 2021, a um SharePoint com link “qualquer pessoa com o link” nunca revisado, ou a um grupo de segurança inflado por anos de acúmulo — o blast radius daquele um clique é exatamente o blast radius que já existia antes do CVE ter nome.
É o mesmo mecanismo que já tratamos quando o Copilot herda permissões excessivas por design — só que agora o vetor de entrada não é mais um funcionário digitando um prompt arriscado. É um atacante externo, e o Copilot é o intermediário que ele nunca precisou comprometer diretamente.
O que isso muda no cálculo de risco
| Pergunta | Resposta pré-EchoLeak/SearchLeak | Resposta agora |
|---|---|---|
| Quem pode expor dados via Copilot? | O próprio usuário, por uso indevido | Qualquer atacante que alcance a caixa de entrada ou um clique da vítima |
| O risco depende de treinamento do usuário? | Em parte | Cada vez menos — EchoLeak não exigia ação nenhuma |
| Patch da Microsoft resolve o risco? | — | Resolve a vulnerabilidade específica. Não resolve o blast radius por trás dela |
| O que limita o dano de um novo CVE ainda não descoberto? | — | Apenas as permissões efetivas de cada identidade, hoje |
A conclusão prática é desconfortável: vai haver um quarto caso. Aim Security, Varonis e outros times de pesquisa continuam testando a superfície de ataque de assistentes de IA corporativos, e a arquitetura de “IA com acesso amplo herdado do usuário” segue sendo o padrão de mercado. A pergunta que resta para cada organização não é se uma nova falha vai aparecer, mas o que ela vai conseguir alcançar quando aparecer.
O que fazer com essa informação (sem esperar o próximo CVE)
1. Trate patch e redução de blast radius como duas tarefas separadas. Aplicar a correção da Microsoft é obrigatório e não é suficiente. Nenhum patch reduz o que um usuário pode acessar — só fecha a técnica usada para alcançar isso desta vez.
2. Priorize a superfície que a Copilot já toca. Se sua organização habilitou o Copilot, os arquivos, SharePoints e grupos de segurança que ele consulta são, por definição, a superfície de maior exposição a qualquer falha futura. É onde a auditoria de permissões precisa começar.
3. Meça blast radius por identidade, não por sistema. A pergunta certa não é “quais sistemas o Copilot acessa”, e sim “quantos dados sensíveis cada usuário individual pode alcançar através dele — e o que aconteceria se aquele usuário específico fosse o próximo clique explorado”.
4. Assuma que o próximo vetor não vai pedir permissão. EchoLeak não exigiu clique. Planejar a resposta assumindo que o usuário vai “perceber algo estranho” é planejar para o ataque de ontem.
Teste rápido: pegue os cinco usuários com maior acesso a dados financeiros ou de RH na sua organização. Se um deles fosse o alvo do próximo CVE de Copilot ainda não divulgado, quantos arquivos sensíveis um atacante alcançaria com um único clique? Se a resposta é “não sei”, esse é o gap que precisa fechar antes do patch seguinte.
Conclusão
EchoLeak e SearchLeak não são falhas isoladas de um produto específico — são a prova de conceito de que assistentes de IA corporativos herdam, e amplificam, qualquer excesso de permissão que já existia. A Microsoft vai continuar corrigindo as técnicas. Reduzir o dano de cada uma, presente e futura, é trabalho de quem entende — e reduz — o blast radius por identidade antes que o próximo pesquisador de segurança encontre o próximo caminho.
“Cada CVE de Copilot corrigido é uma porta fechada. O blast radius por trás dela só se resolve quando alguém audita o que estava na sala.”
O diagnóstico DSPM gratuito mede exatamente isso: quanto cada identidade da sua organização pode alcançar, hoje — antes que um CVE decida por você.
Fontes
- SearchLeak: How We Turned M365 Copilot Into a One-Click Data Exfiltration Weapon, Varonis Threat Labs.
- One-Click Microsoft 365 Copilot Flaw Could Have Let Attackers Steal Emails, Files, and MFA Codes, The Hacker News.
- Copilot ‘SearchLeak’ Attack Allows 1-Click Data Theft, Dark Reading.
- CSA Research Note: M365 Copilot SearchLeak AI Data Exfiltration, Cloud Security Alliance.
