Microsoft heeft een beveiligingslek gedicht in Microsoft 365 Copilot dat aanvallers potentieel toegang kon geven tot gevoelige bedrijfsinformatie. Het lek, dat door onderzoekers van Varonis werd ontdekt, zat in Enterprise Search, de functie waarmee Copilot informatie uit verschillende Microsoft 365-diensten kan doorzoeken.
De kwetsbaarheid kreeg de naam SearchLeak (CVE-2026-42824). Volgens de onderzoekers kon een aanvaller via een speciaal opgebouwde link misbruik maken van de manier waarop Copilot zoekopdrachten verwerkt. In bepaalde situaties was een enkele klik van het slachtoffer voldoende om een aanval op gang te brengen.
De aanval werkte niet via één fout, maar door meerdere zwakke plekken aan elkaar te koppelen. Zo kon een zoekparameter in een URL worden misbruikt om verborgen instructies aan Copilot mee te geven. Die werden vervolgens verwerkt alsof het om een gewone zoekopdracht ging. Op die manier kon de AI gegevens ophalen uit onder meer Outlook, SharePoint en OneDrive. Volgens Varonis ging het potentieel om e-mails, vergaderinformatie, agenda-items, documenten en andere gevoelige bedrijfsgegevens.
Wat de onderzoekers vooral zorgen baarde, was dat de gegevens zonder bijkomende interactie van de gebruiker konden worden doorgestuurd. Het slachtoffer kreeg daarbij geen extra waarschuwingen te zien.
Microsoft heeft het probleem ondertussen aan de serverzijde opgelost. Daardoor hoeven klanten geen update te installeren of instellingen aan te passen. Het lek illustreert hoe klassieke beveiligingsproblemen en AI steeds vaker met elkaar verweven raken. Waar aanvallers vroeger vooral op zoek gingen naar lekken in browsers of besturingssystemen, verschuift de aandacht nu naar AI-platformen die toegang hebben tot grote hoeveelheden bedrijfsdata.
Microsoft wordt zo nog eens op scherp gezet met het idee dat de beveiliging van AI-diensten minstens even belangrijk wordt als de functionaliteit ervan. Zeker bij tools zoals Copilot, die voor veel gebruikers toegang hebben tot e-mails, documenten, agenda’s en interne bedrijfsinformatie.
Schrijf je in op onze nieuwsbrief en ontvang elke week het beste van Clickx in je mailbox.
Krijg Clickx magazine 10 keer per jaar (waarvan 2 extra dikke dubbelnummers) keurig thuisbezorgd.
