Falha no Microsoft Authenticator para Android permitia roubo de credenciais corporativas; Microsoft já corrigiu

Uma falha de segurança no aplicativo Microsoft Authenticator para Android colocava em risco contas corporativas ao permitir que aplicativos maliciosos, mesmo sem nenhuma permissão no sistema, roubassem tokens de autenticação. A vulnerabilidade, registrada como CVE-2026-80097 e avaliada com nota 8,6 de gravidade, foi corrigida pela Microsoft na versão 6.2606.4246, lançada no mês passado. A empresa orienta os usuários a atualizar o aplicativo imediatamente.

Como funcionava

O problema foi descoberto pelo pesquisador Ofek Levin, que atuava por meio de um programa de bolsa na empresa de segurança Enclave, autora de um relatório recém-publicado sobre o caso. Além de gerar códigos de seis dígitos, o Authenticator funciona no Android como um intermediário de acesso: quando programas como o Teams ou o Outlook precisam autenticar o usuário, solicitam a ele um token, espécie de passe digital que comprova que a pessoa está conectada.

A brecha estava em um componente interno, o "AccountChooserActivity", que podia ser acionado por qualquer aplicativo instalado no aparelho. O Authenticator criava a solicitação de acesso com as informações fornecidas pelo invasor, inclusive o nome do programa que ele fingia ser, como o Teams. A verificação apenas conferia se o aplicativo indicado existia no aparelho. Como o Teams original estava instalado, a checagem passava.

O que era possível obter

Em testes da Enclave, ao se passar pelo Teams e pedir conexão com a ferramenta Microsoft Graph, o sistema devolveu permissões amplas, entre elas ler e enviar e-mails, acessar e modificar arquivos e manipular calendários corporativos.

Divergência sobre a exploração

A Enclave afirma que a prova de conceito extraiu tokens sem interação do usuário, bastando que houvesse uma conta de trabalho conectada no aplicativo. A Microsoft, em boletim de segurança, sustenta que a exploração exigia a instalação prévia de um aplicativo malicioso e que a vítima concluísse um fluxo de autenticação no próprio Authenticator. A empresa classificou a falha como de menor probabilidade de ataque e disse não haver registros de uso malicioso anterior à correção.

A principal medida de mitigação, segundo a Microsoft e a Enclave, é atualizar o aplicativo.

Quer a sua marca aqui? Anuncie no Ministério da Notícia