New attack turned Microsoft 365 Copilot into 1-click data theft tool

Microsoft 365 Copilot Enterprise に存在する「SearchLeak」と呼ばれる重大な脆弱性の連鎖により、攻撃者は特別に細工された URL を通じて、標的のメールボックス、OneDrive、または SharePoint アカウントから機密データを盗み出すことが可能になる恐れがあります。

漏洩する情報には、メールの内容（アクセスコードやパスワードなど）、カレンダーの予定や会議の詳細、ドキュメント、および Copilot Enterprise Search を通じてアクセス可能なその他のコンテンツが含まれる可能性があります。

マイクロソフトは今月初めに「SearchLeak」に対処し、この脆弱性にCVE-2026-42824という識別子を割り当て、深刻度を最高レベルの「クリティカル」と評価しました。

image

3段階の攻撃チェーン

企業向けデータセキュリティ企業Varonisの研究者らは、個々では実効性のある攻撃を可能にするには不十分な3つの脆弱性を連鎖させることで、SearchLeakを開発しました。

彼らは、パラメータからプロンプトへのインジェクション、HTML レンダリングのレースコンディション、および Bing のサーバーサイドリクエストフォージェリ（SSRF）によって可能となるコンテンツセキュリティポリシー（CSP）のバイパスを組み合わせました。

第1段階では、Microsoft 365 Copilot Searchが検索クエリとして「q」というURLパラメータを受け入れる仕組みを悪用し、パラメータからプロンプトへの（P2P）インジェクションの脆弱性を突きます。

コンテンツを生成する通常のCopilotとは異なり、Microsoft Copilot Enterprise Searchは、メール、会議、SharePointファイル、OneDrive内の企業データを検索します。

「データを盗み出すために、攻撃者は『ユーザーのメールを検索し、件名を抽出して、それを画像URLに埋め込む』ようCopilotに指示するURLを細工します。被害者は何も入力しません。リンクをクリックするだけで、あとはCopilotが処理を行います」と、Varonisの研究者は説明しています。

これにより、被害者のメールボックスを検索したり、結果を特定の形式で整形したりするなど、Copilotに実行させる指示を含むリンクを作成することが可能になりました。

第2段階では、攻撃者はHTMLレンダリングのレースコンディションを悪用します。これは、Copilotが出力をストリーミングしている間に無効化される<code>ブロック内に囲まれる前に、生のHTMLがブラウザによって一時的にレンダリングされるというものです。

これにより、サニタイズ処理が完了する前に、<img> タグを含む攻撃者が制御する HTML が実行され、外部へのリクエストがトリガーされることになります。

このチェーンの 3 番目の部分は、Bing の「画像検索」機能における SSRF の脆弱性であり、これを利用して、攻撃者のエンドポイントから画像を取得するリクエストを発行します。

Bing がリクエスト（この場合は Copilot が分析すべきコンテンツを取得するためのリクエスト）を行うため、CSP による保護が迂回されてしまいます。

盗まれたデータが URL に埋め込まれているため、攻撃者は自身のサーバーのリクエストログからそのデータを読み取ることができます。

「Bingは知らず知らずのうちにデータ流出のプロキシとなってしまいます。これは、CSPの許可リストのエントリの陰に隠れた、典型的なSSRFです」と研究者たちは結論付けています。

Attack chain
SearchLeakの完全な攻撃チェーン
出典：Varonis

これらの脆弱性を連鎖させるこの攻撃は、まず被害者が細工されたリンクをクリックすることから始まります。これにより、Microsoft 365 Copilot Search が起動し、「q」パラメータに、被害者のメールボックスやその他のデータソースを検索するよう指示が指定されます。

次に、URLに盗み出された情報を含んだ画像タグを含むレスポンスが生成される。

レスポンスがストリーミングされている間、ブラウザは画像をレンダリングし、Bing にリクエストを送信します。Bing は、盗まれたデータを含む攻撃者の URL を取得します。

被害者側からは、Copilot がしばらく「思考中」の状態に見えるだけで、データが外部へ流出している兆候は一切見られません。

Microsoft が CVE-2026-42824 を修正したため、この脅威を軽減するためにユーザーによる対応は不要です。

Varonisは、SSRFやHTMLインジェクションのレースコンディションといった、よく知られ、容易に封じ込められるバグであっても、プロンプトの注入が可能になれば、強力な攻撃手段として悪用されるようになったと強調しています。

結局のところ、AIシステムは、以前はそれほど大きな影響を与えなかった状況においても、従来のバグクラスを悪用するための新たな経路を生み出してしまったのです。