Cibercriminosos podem transformar o Microsoft Copilot em uma ferramenta para acelerar invasões de contas corporativas e fraudes financeiras. Uma simulação controlada mostrou como o assistente pode ajudar a comprometer a conta de um diretor e redirecionar uma transferência de US$ 247,5 mil.
O ataque começa após o criminoso obter acesso ao e-mail de um funcionário. Com um comando no Copilot, é possível criar regras que enviam alertas de login suspeito para a lixeira, reduzindo as chances de descoberta.
Em seguida, o assistente analisa mensagens, documentos e relações internas para identificar executivos e conversas relevantes. Essa busca permite encontrar rapidamente alvos privilegiados sem revisar manualmente milhares de e-mails.
O Copilot também pode reproduzir o estilo de escrita da vítima e criar uma mensagem de phishing baseada em um diálogo real. No teste, o e-mail direcionou o executivo a uma página capaz de interceptar o token de sessão e contornar a autenticação multifator.
Com a conta do diretor comprometida, os pesquisadores pediram ao assistente um resumo de faturas e pagamentos pendentes. Em segundos, a IA encontrou uma transferência de US$ 247,5 mil aguardando aprovação.
Uma nova mensagem, escrita no tom habitual do executivo, solicitou à equipe financeira a alteração da conta bancária. O caso não envolve uma vulnerabilidade específica do Copilot, mas o abuso das permissões de uma conta já invadida.
