Vulnerabilidad EchoLeak: inyección de indicaciones de cero clics provoca filtración silenciosa de datos de Microsoft 365 Copilot

Resumen del evento

En junio de 2026, un equipo de investigación de seguridad reveló la vulnerabilidad de clic cero CVE-2025-32711, denominada EchoLeak, que afecta a Microsoft 365 Copilot. Esta vulnerabilidad permite a un atacante, mediante un correo electrónico cuidadosamente diseñado, robar datos confidenciales del entorno de Copilot de una empresa sin que el usuario lo perciba en absoluto. Microsoft lanzó un parche en el lado del servidor en mayo de 2026, pero hasta la fecha de publicación de este artículo no se han confirmado casos de explotación en la naturaleza. Sin embargo, la complejidad técnica y el impacto potencial de esta vulnerabilidad son enormes, por lo que merece una gran atención por parte de todas las empresas que implementan asistentes de IA.

Análisis técnico y de riesgos

EchoLeak es un ataque de inyección indirecta de indicaciones que aprovecha el mecanismo de herencia de contexto de los sistemas de Retrieval Augmented Generation (RAG). La cadena de ataque es la siguiente:

1. Fase de inyección: El atacante envía un correo electrónico de apariencia normal al usuario objetivo, pero incrusta indicaciones maliciosas en comentarios HTML o texto en color blanco. Estas indicaciones son invisibles para el usuario, pero el motor LLM de Copilot las analiza y almacena. 2. Fase de activación: Cuando el usuario utiliza Copilot de forma normal (por ejemplo, solicitando resúmenes, análisis o recuperación de información en Word, Outlook o Teams), el motor RAG de Copilot incluye los correos electrónicos históricos (incluidos aquellos con las indicaciones ocultas) en la ventana de contexto. 3. Fase de ejecución: Las indicaciones ocultas son ejecutadas por el LLM, instruyendo a Copilot para que devuelva datos confidenciales internos de la empresa (como contenido de correos, resúmenes de documentos, mensajes de Teams, etc.) y los presente al usuario como respuestas normales. Los datos también pueden ser exfiltrados mediante enlaces Markdown o imágenes, evitando las medidas de edición estándar.

El atacante puede aumentar la probabilidad de éxito mediante "RAG spraying": enviar múltiples correos con indicaciones a varios usuarios, bastando con que uno de ellos sea incluido en el contexto para que el ataque tenga éxito.

• La vulnerabilidad elude múltiples mecanismos de seguridad de Microsoft:
• Elusión de XPIA: Evita la detección por parte del clasificador de ataques de inyección cruzada de indicaciones.
• Elusión de la edición de enlaces/imágenes: Utiliza referencias de Markdown para evadir el filtrado de contenido.
• Elusión de CSP: Aprovecha dominios permitidos (como SharePoint, Teams) para sortear la Política de Seguridad de Contenido.

Según el mapeo MITRE ATT&CK, este ataque involucra T1566.001 (Spearphishing Attachment), T1056 (Input Capture mediante manipulación del contexto) y T1567 (Exfiltración a través de servicios web).

Análisis del impacto empresarialEchoLeak representa un riesgo integral para las empresas: - Riesgo operativo: los atacantes pueden robar documentos estratégicos, actas de reuniones internas, datos de clientes, etc., sin dejar rastro, interrumpiendo los procesos de toma de decisiones empresariales. - Riesgo de datos: cualquier dato accesible por Copilot —incluyendo OneDrive, SharePoint, Exchange, Teams— puede filtrarse. - Riesgo de cumplimiento normativo: bajo regulaciones como GDPR, CCPA, una filtración de datos puede resultar en multas masivas y revisión regulatoria. - Riesgo de marca: incluso sin explotación pública, las vulnerabilidades potenciales erosionan la confianza de clientes y socios. - Riesgo financiero: el costo promedio de una filtración de datos, según IBM, supera los 4 millones de dólares; los ataques relacionados con IA pueden ser aún mayores.

Especialmente para los sectores financiero, legal, médico, gubernamental y de alta tecnología, dado que manejan información altamente sensible, el nivel de riesgo debería calificarse como grave.

Observación de tendencias de la industria

EchoLeak no es un incidente aislado, sino un reflejo de los nuevos desafíos de seguridad en IA. Con la implementación generalizada de asistentes de IA basados en RAG (como Copilot, ChatGPT Enterprise, etc.), los ataques de inyección de indicaciones están pasando de la teoría a la realidad. Ataques similares ya han demostrado ser viables en otras plataformas, incluyendo inyección en PDF, envenenamiento de documentos, etc.

• Esta tendencia indica:
• Las fronteras de seguridad tradicionales fallan: la herencia de contexto de los LLM rompe el aislamiento entre correos electrónicos, documentos y consultas.
• Los ataques de cero clics se convierten en el nuevo paradigma: los usuarios pueden ser atacados sin necesidad de hacer clic en enlaces o abrir archivos adjuntos.
• El riesgo de la cadena de suministro se extiende al ecosistema de IA: la seguridad de los complementos de IA de terceros afectará directamente el entorno empresarial.

Las empresas deben integrar la seguridad de IA en su arquitectura de seguridad general, adoptando el principio de confianza cero en cada interacción del modelo.

Recomendaciones de defensa y respuesta

A nivel empresarial - Aplicar parches de inmediato: confirmar que Microsoft 365 Copilot esté actualizado al parche del servidor de mayo de 2026 o posterior. - Limitar fuentes de contexto: mediante configuraciones de administración, prohibir que Copilot acceda a correos externos o restringir el alcance de los documentos. - Implementar el principio de privilegio mínimo: asegurar que Copilot solo pueda acceder a los datos mínimos necesarios para realizar sus tareas.

A nivel técnico - Implementar una puerta de enlace de seguridad de IA: monitorear y bloquear en la capa de red las salidas sospechosas de IA, detectando transferencias anómalas de datos. - Reforzar la seguridad del correo electrónico: utilizar soluciones de seguridad de correo basadas en IA para identificar indicaciones ocultas (como comentarios HTML, texto en color blanco). - Habilitar auditoría de registros: registrar las consultas y respuestas de Copilot para facilitar la investigación posterior.### Nivel de gestión - Elaborar un plan de respuesta a incidentes de IA: Incorporar los ataques de inyección de instrucciones en los manuales de respuesta a incidentes (IR), definiendo claramente los pasos de detección, contención y recuperación. - Realizar capacitación en concienciación de seguridad: Informar a los empleados para que estén alerta ante respuestas anómalas de Copilot, como resúmenes de datos no solicitados. - Evaluación periódica de riesgos: Llevar a cabo evaluaciones de riesgos específicas para los activos de IA, prestando especial atención a las integraciones de terceros.

SecurityPost Insight

La vulnerabilidad EchoLeak revela una falla fundamental en la arquitectura de seguridad de los asistentes de IA actuales: el sistema RAG confía incondicionalmente en el contenido del contexto. Aunque Microsoft lo parcheó rápidamente, el mismo tipo de riesgo seguirá apareciendo en otras aplicaciones de LLM. Los responsables de la toma de decisiones empresariales deben reconocer que la seguridad de la IA no es un problema técnico que se resuelva con parches, sino un tema estratégico que requiere rediseñar el modelo de confianza y la arquitectura del flujo de datos.

En el futuro, anticipamos más técnicas de ataque contra los sistemas RAG, incluyendo inyección de instrucciones multimodales, contaminación de contexto entre aplicaciones, etc. Se recomienda que las organizaciones evalúen de inmediato su cadena de suministro de IA, establezcan una monitorización continua de amenazas y participen activamente en el intercambio de información dentro de la comunidad de seguridad del sector. Solo integrando la seguridad de la IA en los planes de continuidad del negocio se podrá mantener la resiliencia frente a la próxima generación de amenazas.

---

• Fuentes de referencia:
• Divulgación del equipo de investigación de seguridad de Rescana: https://www.rescana.com/post/cve-2025-32711-zero-click-echoleak-vulnerability-in-microsoft-365-copilot-enables-stealth-data-exfiltration-via-prompt-i
• Centro de respuesta de seguridad de Microsoft: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-32711
• Entrada NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-32711