Une faille de Copilot grand public permettait de voler des données en un clic

La société de sécurité Varonis a révélé le 18 août une faille, baptisée CoSnitch (référence CVE-2026-24301), dans la version grand public de Microsoft Copilot accessible sur copilot.microsoft.com. En amenant la victime à ouvrir un simple lien piégé, un attaquant pouvait faire exécuter des instructions cachées par l’assistant et récupérer des données des services que l’utilisateur y avait connectés — messagerie, agenda, fichiers stockés en ligne — sans autre geste de sa part. Microsoft a corrigé le défaut le jour même et indique que ses clients sont déjà protégés, sans manipulation à faire ; la version d’entreprise Microsoft 365 Copilot n’était pas concernée selon l’étude. Ce qui compte pour vous : beaucoup de collaborateurs utilisent le Copilot gratuit et le relient à leur boîte mail ou à leur espace de fichiers, parfois professionnels, et un outil grand public branché sur des données de l’entreprise reste un point faible, même corrigé cette fois-ci. Recensez quels assistants IA vos équipes connectent à quelles données, et distinguez clairement les outils validés pour un usage professionnel de ceux réservés à un usage personnel.