Microsoft Copilot diventa una spear phishing machine

Molti ricercatori di sicurezza hanno evidenziato le vulnerabilità dei chatbot. Michael Bargury, CEO di Zenity, ha illustrato cinque modi per manipolare la versione di Copilot integrata in Microsoft 365 e eseguire varie attività indesiderate, come rubare dati aziendali. L’assistente IA può anche diventare una macchina per il phishing automatico.

Copilot diventa una spear phishing machine

Copilot per Microsoft 365 permette di velocizzare molte attività, grazie all’accesso ai dati aziendali, offrendo un livello di sicurezza maggiore rispetto alla versione gratuita. Durante la recente conferenza Black Hat di Las Vegas, Bargury ha mostrato cinque “proof-of-concept” che consentono di sfruttare il chatbot per scopi illeciti.

Utilizzando i tool denominati LOLCopilot è possibile trasformare Copilot in una spear phishing machine. Occorre solo un account aziendale già compromesso. Un cybercriminale potrebbe impersonare un dipendente e usare il chatbot per generare email con il suo stile di scrittura, aggiungendo link a siti infetti o malware in allegato. Ciò è possibile perché Copilot accede a file, email e messaggi scambiati all’interno dell’azienda.

Il ricercatore ha mostrato inoltre come sia possibile chiedere a Copilot di svelare alcuni dati sensibili, ad esempio gli stipendi dei dipendenti. È inoltre possibile usare il chatbot per manipolare una transazione finanziaria e ottenere informazioni sui prossimi risultati finanziari. In seguito alla segnalazione, Microsoft ha comunicato che risolverà tutti i problemi di sicurezza scoperti.