Un nuevo ataque de un solo clic dirigido a Microsoft Copilot Personal permite a los atacantes exfiltrar silenciosamente datos sensibles de los usuarios. La vulnerabilidad, ya parcheada, permitía a los actores de amenazas secuestrar sesiones mediante un enlace de phishing sin necesidad de más interacción. Los atacantes inician el ataque Reprompt enviando un correo de phishing con una URL legítima de Copilot que contiene un parámetro malicioso ‘q’.

Un nuevo ataque de un solo clic dirigido a Microsoft Copilot Personal permite a los atacantes exfiltrar datos sensibles del usuario de forma silenciosa. La vulnerabilidad, ya parcheada, permitía a los actores maliciosos secuestrar sesiones mediante un enlace de phishing sin necesidad de más interacción.

Los atacantes inician Reprompt enviando un correo de phishing con una URL legítima de Copilot que contiene un parámetro malicioso ‘q’, el cual ejecuta automáticamente un prompt al cargar la página.

Esta inyección Parámetro-a-Prompt (P2P) aprovecha la sesión autenticada de la víctima, persistiendo incluso después de cerrar la pestaña, para consultar detalles personales como nombres de usuario, ubicaciones, historial de acceso a archivos y planes de vacaciones.

La cadena de ataque luego emplea seguimientos impulsados por el servidor, evadiendo la detección del lado del cliente ya que los comandos se despliegan dinámicamente.

Varonis detalló tres técnicas clave que permiten el robo sigiloso de datos, eludiendo las protecciones de Copilot diseñadas para bloquear extracciones de URL y filtraciones.

Estas técnicas hacen que la exfiltración de datos sea indetectable, ya que los prompts parecen inofensivos mientras la información se filtra gradualmente a servidores de atacantes.

Reprompt apuntaba a Copilot Personal, integrado en Windows y Edge para uso de consumidores, accediendo a prompts, historial y datos de Microsoft como archivos recientes o geolocalización.

Las empresas que usan Microsoft 365 Copilot no se vieron afectadas gracias a auditorías de Purview, controles de administrador y DLP de inquilino. No se registró explotación en la naturaleza, pero la baja barrera de un ataque de un solo clic por correo o chat representaba riesgos para datos como planes financieros o notas médicas, como muestran los diagramas del ataque.

Varonis reportó responsablemente el problema a Microsoft el 31 de agosto de 2025, y la solución se implementó en el Patch Tuesday del 13 de enero de 2026. Los usuarios deben aplicar las últimas actualizaciones de Windows de inmediato para bloquear restos de la vulnerabilidad.

A diferencia de fallos anteriores como EchoLeak (CVE-2025-32711), Reprompt no requería documentos ni plugins, destacando los riesgos de los parámetros de URL en plataformas de IA.

Las organizaciones deben tratar las entradas de URL en IA como no confiables y aplicar protecciones persistentes en prompts encadenados. Los usuarios de Copilot Personal deben revisar prompts prellenados, evitar enlaces no confiables y monitorear anomalías como solicitudes de datos no solicitadas.

Se insta a proveedores como Microsoft a auditar profundamente las entradas externas, asumiendo acceso de nivel interno en contextos de IA para prevenir cadenas similares.