Microsoftの正規ドメインへのリンクを1回クリックするだけで、メールやMFAコードなどの社内データが外部に送り出される——そんな攻撃が、Microsoft 365 Copilot Enterpriseで実証されました。

この記事では、Varonis Threat Labsが発見した脆弱性連鎖「SearchLeak（CVE-2026-42824）」の仕組みと、企業利用者・セキュリティ担当が押さえるべき対策を整理します。

この記事でわかること

  • SearchLeakが何を狙い、どのデータが漏洩するか
  • プロンプトインジェクション・HTML注入・SSRFを組み合わせた3段階の攻撃手順
  • Microsoftの修正状況と、組織側で取れる防御策

SearchLeakとは何が起きたか

2026年6月、データセキュリティ企業Varonisの脅威研究チームが、Microsoft 365 Copilot Enterprise Searchに潜む脆弱性連鎖を公開しました。攻撃名はSearchLeak、識別子はCVE-2026-42824です。Microsoftは重大度「Critical」で分類し、6月初旬にサーバー側で修正を完了しています（参考）。

通常のCopilotチャットが文章生成に使われるのに対し、Copilot Enterprise Searchはメール、カレンダー、SharePoint、OneDriveなど組織内データを横断検索する機能です。SearchLeakはこの検索機能を悪用し、被害者が何も入力しなくてもデータを外部へ持ち出します。

漏洩の対象は、メール本文や件名（MFAコードやパスワードリセットリンクを含む）、カレンダーの会議情報、SharePointやOneDrive上の機密文書など、Copilotがアクセスできる範囲すべてです。Varonisの検証では、件名に含まれるセキュリティコードを攻撃者のサーバーへ送り出す概念実証が成功しています（参考）。

なぜ1クリックでデータが抜かれるのか

SearchLeakの本質は、AI固有の弱点と従来のWeb脆弱性を連鎖させた点にあります。3つの欠陥はそれぞれ単体では深刻な窃取に至りませんが、組み合わさると一撃で成立します。

第1段階：パラメータ・トゥ・プロンプト（P2P）インジェクション

https://m365.cloud.microsoft/search/

Copilot Enterprise SearchはURLのqパラメータを検索クエリとして受け取ります。しかしVaronisの調査では、この値が単なる検索文字列ではなく、CopilotのAIエンジンが実行する指示として解釈されることが判明しました。これをパラメータ・トゥ・プロンプト（P2P）インジェクションと呼びます。プロンプトインジェクションとは、AIに意図しない命令を仕込む攻撃手法です。

攻撃者は「ユーザーのメールを検索し、件名を取り出して画像URLに埋め込め」といった指示をqパラメータに仕込んだリンクを作成します。被害者はリンクをクリックするだけで、Copilotが自動的にメールボックスを検索し始めます。

第2段階：HTMLレンダリングのレースコンディション

Copilotの出力には危険なHTMLを無害化する仕組みがあります。応答が完了すると、出力全体がコードブロックで囲まれ、ブラウザがマークアップとして解釈しないよう処理されます。

問題は、この無害化がストリーミング完了後に行われる点です。応答生成中は生のHTMLが一時的にDOMへ描画されます。攻撃者が仕込んだ<img>タグは、無害化が効く前にブラウザからHTTPリクエストを発火させます。サニタイズは最終出力への後処理であり、ブラウザは逐次レンダリングを続けるため、タイミングの隙を突かれます。

第3段階：Bing SSRFによるCSPバイパス

ここまでで<img>タグからのリクエストは発生しますが、m365.cloud.microsoftのコンテンツセキュリティポリシー（CSP）は外部ドメインへの画像読み込みを制限しています。CSPはブラウザが許可された送信先以外へデータを送るのを防ぐセキュリティ機構です。

SearchLeakはこの制限を、Bingの「画像で検索」機能を経由して回避します。*.bing.comはCSPの許可リストに含まれており、Bingのsearchbyimageエンドポイントはサーバー側で指定URLの画像を取得します。つまりサーバーサイドリクエストフォージェリ（SSRF）——サーバーに意図しない外部通信をさせる古典的な攻撃——を通じて、Bingのインフラが攻撃者のURLへアクセスします。窃取データはURLパスに埋め込まれ、攻撃者はサーバーログから読み取れます。

Varonisは「Bingが意図せぬ流出プロキシになる。CSP許可リストの裏に隠れた古典的SSRF」と評しています（参考）。

被害者から見える挙動と攻撃の特徴

攻撃リンクの送信先はメール、Teams、Slack、WhatsAppなど任意のチャネルです。リンク先はmicrosoft.comドメインのため、従来のフィッシング対策やURLフィルタではブロックされにくい点が厄介です。

被害者の画面では、Copilotがしばらく「考えている」ように見えるだけです。応答が不自然に見えても、その時点でデータは既に外部へ送られています。攻撃者側に特別な権限は不要で、仕込んだURLと被害者の1クリックがあれば成立します。Copilot EnterpriseはユーザーのMicrosoft Graph権限で動作するため、被害者がアクセスできる組織データは攻撃者にも届きます。

Microsoftの対応と企業が取るべき策

MicrosoftはCVE-2026-42824を修正済みで、テナント利用者による追加対応は不要としています（参考）。パッチはサーバー側で適用されるため、管理者が個別にソフトウェアを入れ直す必要はありません。

修正済みとはいえ、同種の連鎖攻撃は再発し得ます。Varonisはセキュリティチーム向けに次の対策を推奨しています。

  • Copilot SearchのURLで、qパラメータにHTMLタグやデータ埋め込み指示が含まれていないか監視する
  • CSP許可リストを見直し、ユーザー指定URLをサーバー側で取得するドメインを流出経路として扱う
  • AIのストリーミング出力を信頼せず、レンダリング時点でサニタイズする

利用者側では、Microsoft 365サービスへのリンクでもクエリパラメータが長く不自然な場合は開かない、Copilotが指示なくメール検索を始めたら報告する——といった日常の注意が有効です。

AIエージェント時代のセキュリティ課題

SearchLeakは、Varonisが以前に消費者向けCopilotで見つけた「Reprompt」と並ぶ発見です。いずれもAIが従来の脆弱性クラスへ新たな到達経路を開く典型例と言えます。P2Pインジェクションがなければ攻撃者制御のHTMLは応答に入らず、レースコンディションがなければHTMLは無害化され、SSRFがなければCSPが流出を遮断します。AIコンポーネントが3つを結びつけ、1クリック窃取を可能にしました。

企業がCopilotやAIエージェントを業務に組み込むほど、プロンプトインジェクション対策と従来のWebセキュリティの両方を同時に見直す必要があります。SearchLeakは、その必要性を改めて示す警鐘です。