# Copilot leggeva le tue email aziendali: i codici 2FA finivano agli hacker URL: https://menteinformatica.it/sicurezza-privacy/microsoft-copilot-falla-critica-2fa/ Autore: Giorgio Perillo Aggiornato: 2026-06-18 Categoria: Sicurezza e Privacy --- **Una vulnerabilità classificata come critica massima in Microsoft 365 Copilot** permetteva agli hacker di rubare codici di autenticazione a due fattori direttamente dalle email degli utenti, senza che la vittima digitasse una sola parola. ## Come funzionava l’attacco: un clic e i tuoi codici 2FA sparivano La società di sicurezza **Varonis** ha scoperto e segnalato la falla a Microsoft, che l’ha corretta martedì scorso. Lunedì 16 giugno i ricercatori hanno pubblicato i dettagli tecnici dell’exploit, che hanno chiamato **SearchLeak**. Il meccanismo è brutalmente semplice: l’attaccante invia alla vittima un’email con un **URL appositamente costruito** che punta al dominio m365.cloud.microsoft. Dentro l’URL è nascosta un’istruzione per Copilot. La vittima clicca, Copilot esegue l’istruzione senza fare domande. ⚠️ **Attenzione:** come riporta [l’analisi tecnica di Ars Technica](https://arstechnica.com/security/2026/06/critical-copilot-vulnerability-allowed-hackers-to-seal-2fa-code-from-users/), la vittima non deve fare altro che cliccare il link. Copilot cerca le email, estrae i dati sensibili e li invia al server dell’attaccante in modo automatico. Il vettore è quello che in gergo si chiama **[prompt injection](https://menteinformatica.it/intelligenza-artificiale/chatgpt-esfiltrazione-dati-prompt-injection/)**: l’AI non distingue tra un’istruzione del vero utente e una istruzione malevola nascosta in contenuti di terze parti. In questo caso la novità era che il comando viaggiava nel parametro **q** dell’URL, non nel corpo di un documento o di un’email da analizzare. Varonis l’ha battezzata “Parameter-to-Prompt Injection”. ## Il problema strutturale che Microsoft non riesce a risolvere Il report di Varonis descrive con precisione come l’exploit aggirava due guardrail distinti di Copilot. Il primo avvolge l’output dell’AI in blocchi **** per impedire al browser di interpretare HTML arbitrario. Il secondo limita i domini a cui Copilot può inviare richieste senza approvazione esplicita. Il bypass era elegante: i blocchi di protezione scattano solo dopo la fase di “thinking” di Copilot. Prima di quel momento, la risposta viene generata in **HTML grezzo**, che il browser interpreta immediatamente. Risultato: un tag con i dati sensibili nell’URL veniva caricato prima che qualsiasi guardrail potesse intervenire. I codici 2FA atterravano nei log del server dell’attaccante. 📌 **Da sapere:** la causa profonda non è un bug isolato. Come scrivono i ricercatori, “la funzionalità di ricerca è esattamente ciò di cui gli attaccanti hanno bisogno, perché anche con capacità limitate, un utente con accesso a informazioni critiche è sufficiente.” Il modello linguistico non può distinguere istruzioni legittime da istruzioni malevole: è un limite strutturale dell’architettura LLM, non una svista del team di sviluppo. Microsoft ha costruito una serie di guardrail ad hoc attorno a questo limite, e Varonis ha dimostrato che si possono saltare con una catena di exploit relativamente semplice. Chi usa **Microsoft 365 Copilot** in azienda con accesso alle email aziendali era esposto a una perdita di credenziali silenziosa e difficile da rilevare nei log. ## Cosa fare ora e perché il pattern si ripete 💡 **L’analisi:** Microsoft ha patchato questa specifica catena di exploit, ma il problema strutturale resta intatto. Finché i modelli LLM non saranno in grado di distinguere contesto trusted da contesto untrusted, la vulnerabilità agli attacchi di prompt injection non scomparirà: cambierà solo forma. I ricercatori di sicurezza troveranno il prossimo vettore, e il ciclo ricomincia. Vale per Microsoft, ma anche per tutti gli altri assistenti AI con accesso a dati aziendali, da Copilot ai [tool come Codex](https://menteinformatica.it/intelligenza-artificiale/claude-code-copilot-codex-violati-credenziali/). La patch è già distribuita da Microsoft, quindi chi usa **M365 Copilot** in azienda è protetto dalla variante SearchLeak. La cosa concreta da fare adesso è verificare che gli aggiornamenti automatici di Microsoft 365 siano attivi nel proprio tenant aziendale, e che i sistemi di audit log registrino le richieste in uscita da Copilot verso domini esterni. La questione più ampia riguarda la governance degli strumenti AI in azienda. Un assistente che ha accesso in lettura alle email di tutti i dipendenti, inclusi i codici 2FA, è un punto di raccolta dati enormemente appetibile per gli attaccanti. La superficie d’attacco non dipende dal singolo bug, ma dalla decisione di architettura di concedere all’AI quel livello di accesso. E su questo fronte, a differenza del percorso più cauto che Microsoft ha seguito su [Copilot in Windows 11](https://menteinformatica.it/software-app/windows-11-rimozione-copilot-ai/), l’integrazione enterprise di M365 Copilot è rimasta molto più aggressiva in termini di permessi. Un problema analogo abbiamo visto con la [Falla nelle Beats Studio Buds: qualcuno poteva](https://menteinformatica.it/sicurezza-privacy/beats-studio-buds-aggiornamento-falla-bluetooth/). Leggi anche: [NeptuneRAT: il malware che svuota i PC Windows con una falsa fattura](https://menteinformatica.it/sicurezza-privacy/phishing-false-fatture-malware-italia/). Stay tech 🦾