Des chercheurs transforment Microsoft 365 Copilot en un outil de vol d'e-mails et de documents en un clic

Des chercheurs en sécurité de Varonis ont divulgué le 15 juin une chaîne de vulnérabilités critiques dans Microsoft 365 Copilot Enterprise Search qui permettait aux attaquants de voler des e-mails, des événements de calendrier, des mots de passe stockés dans les e-mails et des documents SharePoint en utilisant simplement un lien malveillant. Microsoft, qui a classé la faille CVE-2026-42824 comme Critique et l'a corrigée début juin 2026, a confirmé que la technique fonctionnait en silence — les victimes ne voyaient aucune indication que leurs données étaient collectées.

Varonis a nommé l'attaque "SearchLeak". Elle enchaîne trois faiblesses distinctes en un seul chemin d'exfiltration automatisé qui contourne à la fois l'assainissement du contenu de Microsoft et ses protections de Politique de Sécurité du Contenu. Selon BleepingComputer, aucune exploitation active n'a été identifiée, mais la technique est suffisamment simple pour qu'une exploitation avant le correctif soit plausible.

Comment fonctionne la chaîne d'attaque en trois étapes

L'attaque commence par une URL. Un attaquant envoie à la victime un lien — intégré dans un e-mail de phishing, un message Slack ou un chat Teams — qui pointe vers la recherche Copilot de Microsoft 365 avec un paramètre de requête conçu. Cette requête ordonne à l'IA de Copilot de rechercher dans les e-mails de l'utilisateur et d'extraire un contenu spécifique, comme des codes d'accès ou des détails de réunion, puis d'intégrer ce contenu dans une URL d'image sortante.

La deuxième étape exploite une condition de concurrence (race condition) dans la façon dont Copilot rend le HTML pendant le streaming. Avant que la couche d'assainissement de Microsoft ne puisse supprimer les balises dangereuses, un élément <img> dans la sortie brute se déclenche — effectuant une requête HTTP sortante transportant les données volées dans les paramètres de l'URL. Cela se produit en quelques millisecondes, avant que l'utilisateur ne voie quoi que ce soit d'inhabituel.

La troisième étape contourne la Politique de Sécurité du Contenu de Copilot, qui devrait bloquer les requêtes sortantes vers des serveurs inconnus. Varonis a découvert qu'ils pouvaient router l'exfiltration via la fonction "Recherche par image" de Bing — un service Microsoft de confiance que Copilot est autorisé à contacter. Les données volées arrivent sur le serveur de l'attaquant après être passées par l'infrastructure de Microsoft tout au long du trajet.

Quelles données étaient en danger

Grâce à un seul lien conçu, la chaîne pouvait extraire pratiquement tout le contenu accessible à la licence Copilot Enterprise de l'utilisateur : corps d'e-mails (y compris les codes à usage unique, les liens de réinitialisation de mot de passe et les identifiants internes partagés par e-mail), événements de calendrier avec participants et contenu de réunion, documents SharePoint et OneDrive, et tout ce qui est indexé dans la recherche d'entreprise. La portée est déterminée par ce que l'IA est chargée de rechercher — un attaquant pourrait cibler des mots-clés spécifiques, des e-mails récents ou des types de fichiers nommés.

La nature silencieuse de l'attaque est ce qui la rend particulièrement préoccupante. Contrairement au XSS basé sur navigateur, il n'y a pas de redirection visible, de changement de page ou d'erreur. Une victime qui clique sur un lien dans un e-mail de phishing verrait simplement un résultat de recherche normal de Copilot — tandis que ses données quittaient le bâtiment en arrière-plan.

Le schéma plus large : l'IA comme surface d'attaque

SearchLeak s'inscrit dans un schéma croissant où les chercheurs découvrent que les outils d'IA d'entreprise introduisent de nouvelles surfaces d'attaque qui ne correspondent pas facilement aux défenses existantes. L'injection de Prompt (Prompt Injection) — la technique de la première étape de cette chaîne — n'est pas une vulnérabilité de code traditionnelle. Elle exploite le fait que les assistants IA acceptent des instructions en langage naturel, et une instruction contrôlée par l'attaquant (intégrée dans un paramètre d'URL) est interprétée de la même manière qu'une demande légitime d'utilisateur.

Microsoft a fait face à des divulgations similaires dans Copilot for Microsoft 365, Azure OpenAI Service et Bing Chat au cours des 18 derniers mois. Le point commun : l'assainissement du contenu et les politiques de sécurité conçues pour les pages web ne s'étendent pas automatiquement aux sorties générées par l'IA, qui peuvent inclure du HTML, des liens intégrés et des demandes de ressources externes produites par le modèle lui-même plutôt que par l'auteur de la page.

Atténuation

Microsoft a corrigé CVE-2026-42824 côté serveur début juin 2026 dans le cadre d'une mise à jour plus large du service Copilot, le correctif atteignant tous les clients avant la divulgation publique. Aucune action utilisateur ni mise à jour client n'est requise. Les organisations utilisant Microsoft 365 Copilot Enterprise doivent confirmer qu'elles sont sur une version de service post-juin, et les équipes de sécurité doivent examiner si des risques d'injection de paramètres similaires existent dans tout outil d'IA interne qui accepte des paramètres de requête basés sur URL.