Sebuah proof-of-concept baru yang dipublikasikan pada 4 Agustus 2026, menunjukkan bagaimana attacker bisa mengeksploitasi Microsoft Copilot, asisten AI yang terintegrasi di Microsoft 365, untuk melakukan business email compromise (BEC) dan penipuan transfer dana dalam skala besar. Tingkat severity dari ancaman ini tinggi karena potensi pengambilalihan akun.

Serangan dimulai ketika threat actor mendapatkan akses ke inbox seorang karyawan. Mereka menggunakan Microsoft Copilot untuk membangun persistence, melakukan reconnaissance, dan membuat pesan yang meyakinkan. Attacker kemudian memakai proxy untuk mencegat session token, sehingga bisa melewati multifactor authentication dan mengambil alih akun CEO. Mereka memanfaatkan Copilot untuk mencari email keuangan dan membuat email mendesak ke tim keuangan, yang akhirnya menyebabkan pengalihan transfer dana besar ke akun attacker. Setelah itu, attacker memakai Copilot untuk menghapus jejak bukti skema ini.

Microsoft 365, khususnya AI assistant Microsoft Copilot.

1. Pantau akun yang menggunakan AI untuk aktivitas yang tidak biasa.
2. Waspadai penyalahgunaan inbox rule.
3. Monitor aktivitas session yang anomali.
4. Perkuat deteksi threat dan lakukan investigasi cepat.