Copilot Chat resumió correo electrónico confidencial durante semanas debido a un error de código

Microsoft 365 Copilot Chat leyó y resumió correos electrónicos que su propia configuración debía mantener fuera de su alcance. La alerta de servicio de Microsoft, registrada en el Centro de mensajes de administración como CW1226324, sitúa la primera detección el 21 de enero de 2026, y la corrección seguía desplegándose cuatro semanas después. Afectó al chat de la "pestaña de trabajo" dentro de Microsoft 365 Copilot Chat, que extraía mensajes de las carpetas Elementos enviados y Borradores de los usuarios y los resumía incluso cuando esos mensajes llevaban una etiqueta de confidencialidad Confidencial y se había configurado una política de prevención de pérdida de datos para impedir exactamente eso. BleepingComputer informó de la alerta el 18 de febrero de 2026, la fecha que el archivo asigna a la entrada; Microsoft no ha dicho cuántas organizaciones se vieron afectadas. El registro completo, con su clasificación de gravedad y confianza, se encuentra en el Orca AI Incident Archive, junto con las demás entradas de esta serie.

Copilot Chat es el asistente de Microsoft consciente del contenido que permite a los usuarios consultar a agentes de IA desde Word, Excel, PowerPoint, Outlook y OneNote. Según BleepingComputer, Microsoft comenzó a implementarlo para los clientes empresariales de pago de Microsoft 365 en septiembre de 2025. Eso hace que la población afectada sean los inquilinos empresariales que habían comprado el producto y luego aplicaron los controles de gobernanza con los que se vendía el producto.

Lo que realmente decía la alerta del servicio

El documento principal aquí no es un aviso publicado ni un registro CVE. Es un mensaje en el centro de administración de Microsoft 365, visible para los administradores del inquilino, que BleepingComputer dice haber visto y citado. La redacción de Microsoft, tal como la reprodujo el medio, es específica sobre el mecanismo:

Los mensajes de correo electrónico de los usuarios a los que se ha aplicado una etiqueta de confidencialidad están siendo procesados incorrectamente por el chat de Microsoft 365 Copilot.

El Chat de la 'pestaña de trabajo' de Microsoft 365 Copilot está resumiendo mensajes de correo electrónico aunque estos mensajes tienen aplicada una etiqueta de confidencialidad y hay una directiva DLP configurada.

Un problema en el código está permitiendo que Copilot recoja elementos de las carpetas de Elementos enviados y Borradores aunque haya etiquetas de confidencialidad aplicadas.

BleepingComputer señaló que Microsoft etiquetó el elemento como un aviso en lugar de un incidente — una marca que el medio describe como de uso común para problemas de servicio con alcance o impacto limitados. No aparece ningún identificador CVE en la alerta de Microsoft ni en ninguna de las coberturas revisadas para este artículo. Se trata de un defecto del lado del servidor en un servicio alojado, no de una falla de producto con un boletín de parches, por lo que el registro reside en una consola de estado del servicio y no en el centro de respuesta de seguridad de Microsoft.

La cronología que publicó Microsoft y la parte que dejó abierta

Las fechas de la alerta son lo más firme del registro, y son las propias de Microsoft.

Cuatro semanas separan la primera detección del primer informe público. El propio relato de Microsoft no dice cuánto tiempo había estado activo el defecto antes del 21 de enero, ni da una fecha en la que todos los inquilinos recibieran la corrección. La actualización del 20 de febrero dice que el despliegue seguía en curso para lo que denomina «una pequeña sección de nuestros entornos de servicio más complejos», lo que constituye una declaración de que algunos clientes seguían expuestos en ese momento, sin decir cuáles ni cuántos.

Cuatro controles, y el que cedió

La razón por la que esto es un fallo de gobernanza y no un simple fallo aislado es que todos los controles estaban implementados y solo el último falló. Las etiquetas de confidencialidad, las directivas DLP y los controles de acceso del inquilino son tres mecanismos separados, y la propia ruta de recuperación de Copilot es un cuarto. La alerta indica que los dos primeros estaban configurados. Microsoft dice que el tercero se mantuvo. El cuarto no.

Esa distinción importa para cualquiera que interprete el incidente como una brecha de datos. Una etiqueta de confidencialidad es una declaración de intención adjunta a un mensaje; por sí misma no impide nada. Algo tiene que leerla y negarse. En el funcionamiento normal de un inquilino de Microsoft 365, ese algo es el motor DLP para el uso compartido y la capa de recuperación de Copilot para el procesamiento con IA. Según la alerta, tanto la etiqueta como la regla DLP estaban presentes, y aun así los mensajes se resumieron, porque la ruta de código que se suponía que debía consultarlas no lo hizo.

Lo que Microsoft dice que quedó expuesto, y lo que no dice

El comentario sustantivo de Microsoft llegó el 19 de febrero, un día después del artículo, en una declaración a BleepingComputer que la empresa repitió a la BBC y a IT Pro:

Identificamos y solucionamos un problema por el cual Microsoft 365 Copilot Chat podía devolver contenido de correos electrónicos etiquetados como confidenciales, creados por un usuario y almacenados en sus Borradores y Elementos enviados de Outlook para escritorio. Esto no proporcionaba a nadie acceso a información que ya no estuviera autorizado a ver.

Aunque nuestros controles de acceso y políticas de protección de datos permanecieron intactos, este comportamiento no cumplía con la experiencia de Copilot que teníamos prevista, la cual está diseñada para excluir el contenido protegido del acceso de Copilot. Se ha implementado una actualización de configuración en todo el mundo para los clientes empresariales.

Dos frases de esa declaración hacen mucho trabajo de acotamiento, y ambas son de Microsoft, no un hallazgo independiente. La primera es "escrito por un usuario": los mensajes afectados son los que el propio usuario escribió y guardó en sus propios Elementos enviados o Borradores, no correo de los buzones de otras personas. La segunda es "Outlook de escritorio", que limita el fallo a un cliente en lugar de a Copilot Chat en todas partes. Leídas en conjunto, Microsoft describe un defecto en el que a las personas se les mostraron resúmenes de su propia correspondencia protegida — no un defecto en el que un usuario leyera la de otro.

Eso es compatible con que el archivo registre un daño real y una gravedad alta, porque el daño en el registro no es la divulgación a un tercero. Es que contenido que una organización había clasificado y acotado explícitamente fue ingerido y procesado por un sistema de IA de todos modos, desde la primera detección el 21 de enero hasta que la corrección llegó a ese inquilino. La propia frase de Microsoft concede la garantía que se rompió: el producto "está diseñado para excluir contenido protegido del acceso de Copilot", y no lo hizo.

Lo que Microsoft no ha dicho, en ninguna declaración revisada para este artículo: cuántos inquilinos se vieron afectados, si el contenido procesado se conservó en algún lugar más allá del resumen, si era visible en los registros de auditoría de una forma que los clientes pudieran reconstruir, y si algo de ello llegó a un flujo de entrenamiento de modelos. La empresa dijo a BleepingComputer que el alcance del impacto "puede cambiar a medida que continúe la investigación" y no ha publicado ninguna cifra desde entonces.

¿A quién afectó y hasta dónde llega la evidencia?

No se ha publicado ninguna lista de clientes. La única organización nombrada en la información es el National Health Service de Inglaterra: la BBC informó el 19 de febrero de que el aviso de Microsoft se había compartido en un panel de soporte de TI del NHS, y de que una sección del aviso en ese sitio implica que el NHS se vio afectado. El mismo informe de la BBC también señala que se le había informado de que el contenido de cualquier correo electrónico borrador o enviado procesado por Copilot Chat permanecería con sus creadores, y de que la información de pacientes no había quedado expuesta. VentureBeat, en un análisis posterior, informa de que el NHS registró el problema internamente como INC46740412.

La página de soporte del NHS que citan esos medios ahora redirige a la página principal de supporthub.nhs.net, por lo que el aviso en sí no pudo leerse para este artículo; la caracterización que hace la BBC de él es la evidencia disponible, y es de segunda mano. El archivo clasifica la región como global, lo que concuerda con una actualización de configuración que Microsoft dice haber implementado en todo el mundo, pero ninguna jurisdicción ha publicado una lista de inquilinos afectados.

La corroboración independiente de los hechos centrales es, por lo demás, sólida. La reportera de tecnología de la BBC, Liv McMahon, confirmó el mecanismo y la declaración de Microsoft el 19 de febrero; Nicole Kobie, de IT Pro, confirmó la fecha de detección del 21 de enero y el ID de seguimiento ese mismo día; TechCrunch informó el 18 de febrero de que Microsoft no diría cuántos clientes se vieron afectados. Ninguno de esos medios cuestiona la secuencia. Ninguno de ellos ha verificado de forma independiente qué hizo Copilot con el contenido.

Qué cambió y qué no

La remediación de Microsoft consistió en una corrección específica del código más un cambio de configuración. La actualización de la alerta del 20 de febrero, citada por BleepingComputer, dice:

Nuestra corrección específica del código para evitar un mayor impacto sigue avanzando y se ha implementado de forma generalizada en la mayoría de los entornos afectados. Nuestro despliegue continúa en curso solo para una pequeña parte de nuestros entornos de servicio más complejos.

Por consiguiente, creemos que la causa raíz de este problema se ha solucionado para la mayoría de los clientes, y ningún mensaje nuevo de correo electrónico para los clientes que han recibido la solución se verá afectado en adelante.

Antes de eso, el 18 de febrero, Microsoft dijo que estaba monitoreando el despliegue y contactando a un subconjunto de usuarios afectados para verificar que la corrección funcionara. En ese momento no se dio un cronograma final de remediación, y no se ha publicado ninguno desde entonces.

Lo que no cambió es la arquitectura de control que permitió el fallo. La etiqueta y la regla DLP siguen describiendo la intención; la ruta de recuperación de Copilot sigue aplicándola. La afirmación de Microsoft de que sus "controles de acceso y políticas de protección de datos permanecieron intactos" es exacta en lo que respecta a eso —las políticas no se modificaron ni se eliminaron—, pero también significa que las políticas nunca fueron lo que bloqueaba.

Lo que el expediente establece y lo que solo afirma

Dentro de este incidente hay tres niveles de afirmación, y vale la pena mantenerlos separados.

Confirmado: un defecto de código en la pestaña de trabajo de Copilot Chat provocó que se resumieran mensajes etiquetados y protegidos por DLP en Elementos enviados y Borradores; Microsoft lo detectó el 21 de enero de 2026, lo registró como CW1226324, comenzó a corregirlo a principios de febrero y, para el 20 de febrero, afirmó que la causa raíz se había abordado para la mayoría de los clientes. Estos hechos proceden de la propia alerta de servicio de Microsoft y están corroborados por la BBC, IT Pro y TechCrunch.

Afirmado por Microsoft, no verificado de forma independiente: que nadie obtuvo acceso a información que no estuviera ya autorizado a ver; que los mensajes en cuestión fueron creados por el usuario afectado y se limitaron a Outlook de escritorio; y que los controles de acceso y las políticas de protección de datos se mantuvieron intactos en todo momento.

No establecido por nadie: el número de organizaciones afectadas; el volumen de mensajes procesados; qué ocurrió con el contenido tras el resumen; y si algún regulador ha abierto una investigación. Ninguna de la cobertura revisada para este artículo menciona ninguna.

Nader Henein, analista de protección de datos y gobernanza de IA de Gartner, declaró a la BBC que "este tipo de metedura de pata es inevitable" dada la frecuencia con la que se lanzan nuevas capacidades de IA, y que lo normal sería que las organizaciones desactivaran una función y esperaran a que la gobernanza se pusiera al día, pero que la presión generada por el hype de la IA hace que eso sea casi imposible. El profesor Alan Woodward, de la Universidad de Surrey, dijo al mismo medio que el incidente demuestra por qué este tipo de herramientas deberían ser privadas por defecto y solo con adhesión voluntaria. Ambas son caracterizaciones del patrón, no conclusiones sobre este defecto concreto, y deben interpretarse como tales.

La lección limitada que respalda el registro es menos dramática que los titulares y más útil: el control que falló era el que el cliente había configurado explícitamente, y falló en una capa que el cliente no podía inspeccionar. La corrección de Microsoft cerró la ruta del código. No dio a los inquilinos una forma de verificar, de manera independiente, que la ruta permanece cerrada.