Microsoft Authenticator para Android tinha falha que expunha contas corporativas
Destaques
- •Vulnerabilidade no Microsoft Authenticator para Android permitia roubo de tokens de autenticação por apps maliciosos.
- •A falha, corrigida pela Microsoft, expunha dados corporativos como e-mails e arquivos.
- •Usuários são orientados a atualizar o aplicativo imediatamente para a versão 6.2606.4246 ou superior.
Uma falha de segurança descoberta no aplicativo Microsoft Authenticator para Android colocava em risco contas corporativas. A vulnerabilidade permitia que aplicativos maliciosos roubassem tokens de autenticação, essenciais para o acesso a sistemas corporativos, como Teams e Outlook.
A brecha, registrada como CVE-2026-80097 e com nota de gravidade 8.6, foi corrigida pela Microsoft na versão 6.2606.4246 do aplicativo, lançada no mês passado. A empresa recomenda a atualização imediata.
Como a falha funcionava
O Microsoft Authenticator, além de gerar códigos de segurança, atua como um gerenciador central de acesso, conhecido como "broker". Softwares como Teams e Outlook solicitam tokens de autenticação a ele para provar a identidade do usuário. A vulnerabilidade explorava um componente interno chamado "AccountChooserActivity", que podia ser acionado por qualquer aplicativo no dispositivo.
Quando um app malicioso iniciava esse componente, ele criava uma solicitação de acesso usando informações fornecidas pelo invasor, fingindo ser um aplicativo legítimo como o Teams. A checagem de segurança do Authenticator falhava ao verificar apenas se a assinatura digital do aplicativo indicado existia no aparelho, ignorando qual programa fez o pedido de verdade.
Impacto e divergências
Em testes práticos, a equipe de segurança Enclave demonstrou que, ao fingir ser o Teams e solicitar conexões com a ferramenta Microsoft Graph, o sistema retornava permissões amplas. Essas permissões incluíam acesso para ler e enviar e-mails, acessar e modificar arquivos, e manipular calendários corporativos.
Há uma divergência entre a Enclave e a Microsoft sobre a facilidade de exploração. A Enclave afirma que o método de prova de conceito conseguia retornar tokens de acesso sem interação da vítima, bastando que a conta estivesse conectada. Já a Microsoft sustenta que a exploração exigia a instalação prévia de um app malicioso e que a vítima concluísse um fluxo de autenticação dentro do próprio Authenticator.
A Microsoft classificou a falha como de menor probabilidade de ataque e sem registros de uso malicioso anterior à correção.
Como se proteger
A principal medida para mitigar o risco é a atualização imediata do aplicativo Microsoft Authenticator. Usuários de Android devem verificar se possuem a versão 6.2606.4246 ou posterior, disponível na loja oficial de aplicativos.
Organizações que gerenciam dispositivos corporativos podem impor essa versão mínima por meio de políticas de gerenciamento de dispositivos móveis, garantindo a segurança de suas contas e dados.
