Varonis Threat Labs ha scoperto tre vulnerabilità in Microsoft Copilot Personal che permettevano, tramite un link appositamente creato, di esfiltrare dati da app collegate con un solo click. Microsoft ha corretto i problemi il 18 agosto 2026.
Varonis Threat Labs ha reso pubblica la scoperta di tre vulnerabilità in Microsoft Copilot Personal che, se sfruttate, consentivano a un attaccante di esfiltrare dati dalle app collegate semplicemente inducendo la vittima a cliccare su un link malevolo. Le falle, denominate collettivamente CoSnitch e identificate come CVE-2026-24301, sono state segnalate a Microsoft a dicembre 2025 e risolte con patch distribuite il 18 agosto 2026.
Come funzionava l'attacco CoSnitch
Il team di ricerca ha scoperto che l'attacco sfruttava un parametro URL non documentato, autorun=1, emerso durante test di "meta-hacking" in cui Copilot stesso forniva dettagli tecnici sulle sue limitazioni. Combinando autorun=1 con il parametro q, un link poteva far eseguire automaticamente un prompt all'interno della sessione autenticata della vittima, senza alcuna interazione aggiuntiva. Questo prompt poteva accedere ai servizi già autorizzati dall'utente, estrarre dati e inviarli a un webhook controllato dall'attaccante tramite la funzione di fetch integrata di Copilot.
Tipologie di vulnerabilità e dati a rischio
Varonis ha suddiviso le scoperte in tre vulnerabilità: la prima riguarda l'esecuzione automatica del prompt, la seconda l'esfiltrazione tramite servizi collegati, la terza la scrittura persistente di istruzioni nella memoria di Copilot attraverso la funzione di sintesi delle pagine web. Nei test, i ricercatori sono riusciti a ottenere contenuti di email, metadati di calendario, nomi di file da Google Drive, cronologia chat e regole personalizzate memorizzate dall'utente.
Persistenza e difficoltà di rilevamento
La richiesta di esfiltrazione risultava indistinguibile dal traffico legittimo generato da Copilot durante la sintesi di pagine web, e l'uso della codifica base64 aiutava a eludere eventuali filtri. Le istruzioni malevole scritte nella memoria di Copilot potevano persistere anche dopo il cambio password o la revoca della sessione, restando attive finché non venivano eliminate manualmente dall'utente. Inoltre, queste modifiche non lasciavano tracce nei log di sistema o nei processi monitorati dagli strumenti di sicurezza, ma solo nell'interfaccia di memoria di Copilot.
Risposta di Microsoft e precedenti simili
Microsoft ha precisato che Copilot accede solo ai servizi autorizzati dall'utente e non amplia i permessi esistenti. Per la versione Microsoft 365 Copilot, l'azienda ha dichiarato che le memorie vengono sottoposte a controlli di sanitizzazione e che ogni aggiornamento viene registrato nei log di audit. Varonis consiglia agli utenti di rivedere le app collegate a Copilot, disconnettere quelle non necessarie e prestare attenzione ai link che aprono assistenti AI.
Contesto e raccomandazioni
Il report di Varonis non ha rilevato evidenze di sfruttamento attivo delle vulnerabilità. Non è stato specificato se la correzione di Microsoft abbia rimosso retroattivamente le memorie già iniettate. L'annuncio segue di poco la pubblicazione di un'altra ricerca Varonis su RovoBlast, un attacco simile che ha colpito l'assistente Rovo di Atlassian. Il tema della persistenza delle minacce tramite tecniche avanzate di injection è sempre più centrale, come dimostrato anche da recenti campagne di attacco che sfruttano rootkit firmati per eludere i controlli di sicurezza, descritte in dettaglio nell'analisi su nuove strategie di occultamento dei malware su Windows.
