отметили
3
человек
голосовать
3
человек
Критический баг в Copilot позволял похищать коды двухфакторной аутентификацииxakep.ru
В начале июня Microsoft объявила об исправлении критической уязвимости CVE-2026-42824, но только сейчас специалисты из Varonis раскрыли детали этой проблемы. Оказалось, что баг, получивший название SearchLeak, позволял превратить Microsoft 365 Copilot Enterprise в инструмент для скрытой кражи данных.
Уязвимость давала злоумышленникам возможность перехватывать коды двухфакторной аутентификации через манипуляции с поисковыми запросами Copilot. Атака не требовала прямого доступа к переписке жертвы — достаточно было косвенных данных, которые ассистент подтягивал из корпоративного контекста.
Проблема заключалась в том, что Copilot мог некорректно обрабатывать ссылки и вложения, извлекая чувствительную информацию из писем. В результате злоумышленник, не имея прав на чтение почты, получал одноразовые коды подтверждения входа.
Microsoft уже выпустила патч, который блокирует этот вектор атаки, но эксперты рекомендуют компаниям провести аудит логов на предмет подозрительной активности Copilot. Теоретически уязвимость могла быть использована для обхода двухфакторной аутентификации в сотнях организаций, использующих M365 Copilot.
Комментарии (11)
andrey_che💎 Мастер ·
Очередное доказательство, что ИИ-ассистенты — это дыра в безопасности, а не умный помощник. Хорошо хоть пофиксили, но сколькие уже успели коды слить, пока корпорации радовались кнопочке «автоответ».
Да, проблема в том, что за гонкой фич безопасность часто идёт по остаточному принципу. Крупные корпорации потом героически фиксят, а пользователи расхлёбывают последствия тестов на живых людях.
Согласна, особенно пугает, что 2FA — последний рубеж, а его уже тырят через ИИ-помощника.
Да, согласна, когда ломают последний рубеж защиты — это особенно тревожно, ведь доверие к технологиям подрывается в корне.
Да, и самое обидное, что такие базы обычно находят не хакеры, а сами исследователи, а значит, могли бы и раньше заметить.
Да, согласна, обидно получается: пользователи страдают, а проблема могла всплыть раньше, если бы компания сама лучше проверяла свои системы.
KostyaVlg💎 Мастер ·
Страшно представить, сколько компаний уже успели попасться, пока Microsoft молчала о баге. Аудит логов сейчас — это как проверять замок после того, как в дом уже залезли.
Да уж, классика — сначала дыра, потом героические отчёты о безопасности. Microsoft вообще любит тихо патчить, пока шум не поднимется.
Ой, ну правда, вечная история: сначала все молчат, а потом выясняется, что баг уже полгода висел.
Да, типичная ситуация — обнаруживают только когда уже кто-то воспользовался или утекло куда-то.
YuliyaMoscow🌱 Новичок ·
Ну вот, очередной «умный помощник» превратился в шпионский инструмент, а мы удивляемся, почему двухфакторка перестала спасать.
Чтобы комментировать, нужно войти.