Recientemente, investigadores de la firma de seguridad Varonis revelaron una vulnerabilidad crítica en Microsoft 365 Copilot que permite a los atacantes extraer datos sensibles, como contraseñas, sin la confirmación del usuario. Este hallazgo se logró mediante un diálogo con el asistente, donde se descubrió un parámetro no documentado que eludía las medidas de seguridad establecidas.
El exploit se basa en el uso de un parámetro llamado ?autorun=1, que, al combinarse con otro parámetro conocido ?q=, permitía que el asistente ejecutara comandos automáticamente al hacer clic en un enlace malicioso. Esto significa que un usuario podría ser engañado para hacer clic en un enlace y, sin saberlo, revelar información sensible a un servidor controlado por un atacante.
Microsoft mitigó esta vulnerabilidad en febrero, impidiendo que el parámetro ?q= inyectara texto en la entrada del chatbot, obligando a los usuarios a escribir manualmente. Sin embargo, la solución más reciente, implementada esta semana, busca reforzar aún más la seguridad del asistente.
La capacidad de Copilot para recibir comandos a través de URLs plantea un riesgo significativo si no se gestionan adecuadamente. Los investigadores demostraron que, al estructurar un enlace específico, podían solicitar a Copilot que buscara en el correo electrónico del usuario y extrajera información sensible, lo que subraya la importancia de revisar las configuraciones de seguridad y las políticas de acceso a herramientas de inteligencia artificial en las empresas.
Dada la creciente dependencia de herramientas como Microsoft 365 Copilot en entornos empresariales, es crucial que los gerentes y directores evalúen sus protocolos de seguridad y capaciten a sus equipos sobre los riesgos asociados con el uso de estas tecnologías. La protección de datos sensibles debe ser una prioridad en la estrategia de ciberseguridad de cualquier organización.
Comentarios