Falha no Microsoft Authenticator permite roubo de credenciais em dispositivos Android

Uma falha de segurança descoberta no aplicativo Microsoft Authenticator para Android colocava em risco contas corporativas ao permitir que aplicativos maliciosos sem nenhuma permissão no sistema roubassem tokens de autenticação.

A vulnerabilidade, registrada sob o código CVE-2026-80097 e avaliada com nota 8.6 em gravidade, foi corrigida pela Microsoft na versão 6.2606.4246 do aplicativo, lançada no mês passado.

A empresa orienta todos os usuários a realizarem a atualização imediata.

O problema foi descoberto pelo pesquisador Ofek Levin, que atuava por meio de um programa de bolsa na empresa de segurança Enclave.

De acordo com o recém-publicado relatório da Enclave , o Authenticator faz mais no sistema Android do que apenas gerar códigos numéricos de seis dígitos.

O aplicativo atua como um gerenciador central de acesso, conhecido tecnicamente como “broker”.

Quando precisam autenticar um usuário, softwares como o Teams ou o Outlook solicitam à plataforma um token, que funciona como um passe digital provando que a pessoa está logada.

Falha no Authenticator expõe dados corporativos Foto: Reprodução/Authenticator A brecha ocorria porque o Authenticator expunha um componente interno chamado “AccountChooserActivity”, que podia ser iniciado por qualquer aplicativo presente no dispositivo.

Quando um software malicioso acionava esse reccurso, o aplicaitvo criava a solicitação de acesso utilizando as informações fornecidas pelo invasor, incluindo o nome do programa que fingia ser, como o Teams .

A checagem de segurança falhava porque o Authenticator apenas conferia se a assinatura digital do aplicativo indicado existia no aparelho.

Como o Microsoft Teams original estava instalado no celular, o registro correto era encontrado e a verificação passava por engano.

O programa sabia qual aplicativo fez o pedido de verdade, mas ignorava esse dado na hora de entregar o passe de acesso.

Em testes práticos realizados pela equipe da Enclave, ao fingir ser o Teams e solicitar conexões com a ferramenta Microsoft Graph , o sistema retornava permissões amplas que incluíam ler e enviar e-mails, acessar e modificar arquivos, e manipular calendários corporativos.

Controvérsia sobre a interação necessária Há uma divergência entre a descoberta da empresa de segurança e a posição oficial da Microsoft quanto à facilidade de exploração da falha.