SearchLeak um só clique expõe e-mails calendários e arquivos mediante Copilot e Bing

Pesquisadores do Varonis Threat Labs demonstraram um caminho de exfiltração que requeria apenas um clique em um link legítimo da Microsoft e que, em potência, poderia ter tirado assuntos de e-mail, detalhes de calendário e rotas para arquivos indexados pela Copilot Enterprise Search. Varonis bautizou a cadeia de erros como SearchLeak e descreveu-a como a combinação de três problemas: uma injeção de parâmetros que se converte em instruções para o motor de Copilot, uma condição de carreira que permite a execução de HTML no fluxo de saída antes de ser sanitizado e uma segunda etapa que aproveita a política de segurança de conteúdo e a capacidade do serviço de imagens do Bing para recuperar dados a partir da infraestrutura da Microsoft.

A parte central do problema é que Copilot interpreta o parâmetro q do URL de pesquisa como um *prompt* natural - não apenas como uma cadeia de pesquisa -, o que permite a um atacante construir um URL que ordene a Copilot procurar dentro da caixa de correio ou do índice e colocar o resultado dentro de um URL de imagem. Como a plataforma transmite o resultado em tempo real, o navegador pode iniciar o pedido incorporado (por exemplo, um <img>) antes de a resposta passar pela embalagem de segurança que a transforma em texto. Como a política de conteúdo do domínio permite pedidos de subdomínios de bing.com, o Bing atua involuntariamente como um proxy: seu serviço de "Search by Image" vai buscar o URL indicado e, com isso, arrasta a informação fora do ambiente do usuário.

Isso explica por que medidas tradicionais como filtros de URL ou detectores de phishing baseados em domínio não teriam ajudado: o link apontava para um domínio microsoft.com legítimo e a exfiltração final ocorre desde a infraestrutura do Bing, fora do contexto do navegador do usuário. O impacto É que o atacante herda o alcance de acesso do Copilot para o usuário afetado (ou seja, o que a Microsoft Graph tem permitido ler) sem necessidade de se autenticar ou de interação adicional, e em segundos poderia capturar códigos de um único uso, links de restauração, assuntos de e-mail ou referências a arquivos sensíveis.

A Microsoft designou a vulnerabilidade como CVE-2026-42824 e informou uma mitigação aplicada no backend do serviço; Varonis apresentou um teste de conceito, mas não informou de exploração ativa em ambientes reais. Este incidente revela que a conjunção de velhas classes de erros (race conditions, SSRF/sanitizers) com novas arquiteturas baseadas em prompt processing pode reavivar vetores que se acreditavam mitigados.

Para entender melhor a peça-chave da defesa que se iniciou, convém rever como funciona a política de segurança de conteúdo e porque uma allowlist ampla de domínios de confiança pode ser contraproducente quando o serviço terceiro realiza pedidos server-side: a documentação técnica em MDN sobre Content Security Policy esclarece o alcance e as limitações dessas regras https://developer.mozilla.org/en-US/docs/Web/HTTP/CSP. Além disso, para avaliar até onde pode chegar Copilot via programação, os administradores devem lembrar que suas integrações se apoiam na Microsoft Graph e em licenças delegados, que estão documentados no guia oficial https://learn.microsoft.com/en-us/graph/overview. Varonis mantém cobertura e análise de ameaças em seu blog que contextualiza este tipo de achados https://www.varonis.com/blog/.

O que as equipes de segurança podem fazer hoje: em primeiro lugar, confirmar que a mitigação aplicada pela Microsoft está em vigor e revisar qualquer comunicação oficial do fornecedor. Em paralelo, convém implementar detecção específica nos registros: procurar URLs de Copilot Search com o parâmetro q que contenha payloads codificados ou HTML, e monitorar solicitações salientes para os endpoints de imagem de Bing desde o contexto de usuários finais ou de API. Reduzir a superfície É crítico: limitar que conjuntos de dados Copilot pode indexar (dados sensíveis, buzones com MFA ou códigos de um único uso), aplicar políticas de acesso condicional para sessões com alto risco e restringir o acesso de aplicativos à Microsoft Graph com o princípio de menor privilégio.

Se uma organização precisa de medidas de contenção imediatas, desativar temporariamente as características de Copilot que realizem buscas automáticas em conteúdo indexado para usuários de alto risco ou em contas administrativas é uma opção defensiva aceitável até que sejam verificados controles adicionais. Também é prudente rever a retenção e disponibilidade de logs (para poder rastrear exfiltrações em janelas de minutos) e elevar alertas sobre qualquer padrão de acesso anómalo ao Bing ou outros serviços que atuem como proxies.

Do ponto de vista do fornecedor e do design seguro, os lessons learned são claros: o saneamento deve ser aplicado de forma eficaz no ponto de saída do stream, não apenas no final do processamento; as allowlists de CSP devem ser concebidas com a premissa de que terceiros podem agir em nome do usuário; e os modelos que "ejecutan" prompts extraídos de parâmetros URL precisam de limites estritos sobre quais operações podem ordenar e sobre quais conjuntos de dados podem agir. A comunidade e as equipes de resposta devem também harmonizar métricas e comunicados: discrepâncias em escores CVSS e diferentes interpretações públicas geram confusão na resposta operacional.

Em suma, SearchLeak é um lembrete potente de que as plataformas gerenciadas e os assistentes impulsionados pela IA introduzem novos marcos de risco onde antigas vulnerabilidades encaixam em cadeias complexas. A defesa eficaz combina atenuações do fornecedor, controles de acesso e detecção centrada no comportamento; os equipamentos de segurança que apliquem estas camadas reduzirão drasticamente a janela de oportunidade para ataques de um único clique.