Copilot rompió tu detección de amenazas internas, y MITRE escribió la prueba

MITRE ATT&CK publica una analítica de detección, AN1380, para atacantes que minan SharePoint en busca de documentos internos útiles. Dice así:

"Cuentas privilegiadas o de uso poco frecuente que realizan un acceso masivo a archivos o metadatos de SharePoint en una ventana de tiempo corta, lo que indica una posible recopilación mediante script de documentos internos sensibles."

Eso es también lo que hace Microsoft 365 Copilot cuando alguien le pide que resuma las negociaciones de contratos del trimestre pasado.

Mismo comportamiento, misma telemetría. Uno es la técnica T1213.002, datos procedentes de repositorios de información: SharePoint. El otro es un empleado con licencia haciendo su trabajo.

No hace falta una brecha

Toda técnica de ATT&CK asume un atacante que primero tuvo que entrar en algún sitio. HAFNIUM, Ke3chang y Chimera son grupos de espionaje patrocinados por estados que MITRE rastrea por nombre, y los tres aparecen en los ejemplos de procedimiento de esta técnica. HAFNIUM abusó de credenciales comprometidas para exfiltrar datos de SharePoint. Ke3chang ejecutó una herramienta de enumeración creada a medida llamada spwebmember. Chimera recopiló documentos después de establecer acceso. Todos ellos necesitaron una forma de entrar.

Copilot no necesita nada de eso. Sin CVE, sin token robado, sin herramientas en un host, sin infracción de políticas. Nadie en la cadena pretende hacer daño, y el consentimiento se concedió hace años, por parte de quien configuró la herencia en un sitio que ya no tiene propietario.

Una técnica creada en febrero de 2020 no ha cambiado. Lo que ha cambiado es el denominador. El acceso masivo a un repositorio solía implicar un script, y un script solía implicar a alguien que no debería estar ahí. Ahora cada usuario con licencia produce ese mismo patrón varias veces al día, simplemente escribiendo una pregunta en inglés.

El reconocimiento de Scattered Spider ahora es un prompt

MITRE registra que, durante la campaña C0027, Scattered Spider accedió a entornos de SharePoint de las víctimas "para buscar información de inscripción de VPN y MFA, instrucciones del servicio de soporte técnico y guías para nuevas incorporaciones." Ese reconocimiento es el trabajo previo antes de una llamada de ingeniería social al servicio de soporte técnico.

Llegar a esta información solía requerir que un atacante vulnerara la red. Ahora está al alcance de cualquiera que pueda autenticarse como empleado y hacer la pregunta: "¿cuál es nuestro proceso cuando alguien necesita volver a inscribirse en el MFA?"

La versión de intrusión dejaba rastros como archivos accedidos, sistemas sondeados y artefactos en disco. La versión de IA deja una pregunta que cualquier nueva incorporación podría hacer.

Hay dos opciones, y la mayoría de los equipos ya eligió una por accidente

El uso de IA es tan generalizado que los equipos de TI o SecOps se verían desbordados por alertas sobre prompts que podrían ser reconocimiento. Esto les deja con dos malas opciones:

Reajustar la detección. Subir el umbral, o excluir la entidad de servicio del agente. La cobertura de T1213.002 se va silenciosamente a cero, y la técnica sigue funcionando tan bien como siempre.

O dejarlo tal cual. Los analistas triajean actividad de IA todo el día, la fatiga de alertas hace lo que la fatiga de alertas hace, y la detección muere de todos modos.

La mayoría de las organizaciones eligió la primera opción sin decidirlo de verdad. Alguien silenció el ruido durante una semana ajetreada y nada quedó documentado. Audita hoy tu cobertura frente a ATT&CK y es probable que esa celda siga en verde.

La brecha de atribución sale a la luz seis meses después, en un caso de RR. HH.

El registro de auditoría dice que la cuenta de un usuario accedió al modelo de compensación. El usuario dice que nunca lo abrió. Ambas cosas pueden ser ciertas. El agente mostró dos líneas de ese documento dentro de un resumen de otra cosa.

Ahora investiga eso. La intención es lo que separa una amenaza interna de un accidente, y la intención es justo lo que el registro ya no puede establecer. La analítica de comportamiento lo hace más difícil, porque esas líneas base asumen un ritmo humano, y esa misma cuenta ahora emite ráfagas a velocidad de máquina. Lo normal se ensancha para todos, lo que deja más margen para que un comportamiento humano anómalo pase desapercibido.

Probablemente ya hayas implementado Copilot, así que empieza por lo que ya ha alcanzado

La mayoría de las guías existentes asumen que todavía no lo has activado. Aquí tienes tres preguntas que hacer una vez que ya lo hayas hecho:

¿A qué pueden llegar realmente las identidades ahora mismo? No los permisos sobre el papel, sino la ruta efectiva: grupos anidados, permisos de sitio heredados, enlaces para compartir que sobrevivieron a sus proyectos, cuentas de invitado que nadie ha revisado desde la incorporación.

¿Qué ha tocado la actividad impulsada por IA en los últimos 90 días? Necesitas el registro antes de necesitar la política.

¿Qué detecciones siguen tratando el acceso masivo a repositorios como evidencia de un atacante? Encuéntralas, y esta vez decide de forma deliberada.

Netwrix 1Secure cubre las dos primeras. Descubre y clasifica datos sensibles en repositorios en la nube y locales, mapea qué identidades pueden llegar a ellos y por qué rutas, y monitoriza el acceso impulsado por IA frente a ese mapa. La tercera pregunta no tiene una respuesta defendible hasta que puedas responder las dos primeras.

Copilot no es el problema. Está haciendo lo que Microsoft dijo que haría, con los permisos que tu organización aprobó. El problema es que tu lógica de detección codifica una suposición según la cual este patrón significa un atacante, una suposición que dejó de ser cierta en silencio, y nadie supo que debía abrir un ticket para revisarla.