One-Click Microsoft 365 Copilot Flaw Could Have Let Attackers Steal Emails, Files, and MFA Codes

Microsoft 365 Copilot의 취약점으로 공격자가 데이터를 탈취할 수 있었다.

연구자들은 Varonis Threat Labs에서 Microsoft 365 Copilot의 취약점을 발견했습니다. 이 취약점은 단일 클릭으로 이메일, 일정 세부정보 및 인덱스 파일을 탈취할 수 있게 해주었습니다. 이들은 'SearchLeak'이라 불리는 세 가지 버그를 연결하여 이 취약점을 만들어냈습니다. 링크가 실제 microsoft.com 도메인을 가리켰기 때문에 기존의 피싱 방지 및 URL 필터링 도구로는 이를 막을 수 없었습니다.

A vulnerability in Microsoft 365 Copilot allowed attackers to steal data with a single click.

Researchers at Varonis Threat Labs discovered a vulnerability in Microsoft 365 Copilot that allowed a single click to exfiltrate emails, calendar details, and indexed files. They identified three bugs that they chained together, creating an exploit path they named 'SearchLeak'. Since the link pointed to a legitimate microsoft.com domain, traditional anti-phishing and URL filtering tools failed to detect the issue.