Una nueva vulnerabilidad en Microsoft Copilot Personal permite la exfiltración de datos sensibles mediante ataques de phishing de un solo clic, poniendo en riesgo a millones de usuarios domésticos si no se aplican medidas de prevención y actualización.
Los asistentes inteligentes, como Copilot, se han convertido en herramientas esenciales para la productividad digital. Sin embargo, su integración profunda en el entorno web también abre la puerta a nuevas formas de ataque por parte de los ciberdelincuentes. La última amenaza detectada aprovecha enlaces aparentemente legítimos para inyectar instrucciones maliciosas en el sistema.
El ataque se realiza mediante un enlace de Microsoft Copilot que contiene un parámetro ‘q’ manipulado. Al hacer clic, se introducen instrucciones ocultas en el asistente que permanecen activas durante toda la sesión, permitiendo acceder y enviar información confidencial sin que el usuario lo perciba.
Aspectos más relevantes del ataque:
-
Uso de enlaces legítimos para engañar al usuario
-
Inyección de instrucciones maliciosas en Copilot
-
Robo de datos personales, historiales y archivos
-
Persistencia del ataque durante la sesión
-
Difícil detección para el usuario medio
El principal impacto es la filtración silenciosa de información sensible almacenada o accesible desde Copilot. Usuarios particulares y empresas sin sistemas avanzados de protección pueden ver comprometidos datos personales, historiales e incluso credenciales. Aunque las empresas con políticas de seguridad como DLP, EDR o auditorías Purview reducen el riesgo, el peligro sigue presente si no se aplican correctamente.
Para minimizar las amenazas, los expertos recomiendan no hacer clic en enlaces sospechosos, incluso si parecen oficiales. También es fundamental mantener Copilot y Windows actualizados, activar filtros antiphishing, usar soluciones EDR y revisar manualmente los prompts antes de ejecutar acciones sensibles.
Este incidente confirma que la expansión de la inteligencia artificial exige nuevas estrategias de seguridad. La combinación de formación, detección temprana y actualización constante será clave para proteger a los usuarios frente a riesgos emergentes.
Más información
- New One-Click Microsoft Copilot Vulnerability Grants Attackers Undetected Access to Sensitive Data
https://cybersecuritynews.com/reprompt-single-click-copilot-exploit - Microsoft Copilot vulnerability allowed attackers to quietly steal your personal data with a single click — this is the Copilot «Reprompt» exploit
https://www.windowscentral.com/artificial-intelligence/microsoft-copilot/copilot-ai-reprompt-exploit-detailed-2026
