A Microsoft corrigiu uma falha no Authenticator para Android que permitia a um aplicativo malicioso, sem permissões, se passar por um aplicativo confiável da empresa, como o Teams, e coletar tokens de autenticação da conta corporativa da vítima.
A Microsoft identificou a falha como
CVE-2026-80097
e a corrigiu na versão 6.2606.4246 do Authenticator para Android. Quem usa o aplicativo deve atualizá-lo.
Nos testes dos pesquisadores, os tokens concediam acesso total aos e-mails, arquivos e calendário da conta. A Microsoft afirma que a exploração também exige que a vítima conclua uma etapa de autenticação no Authenticator e que a falha não foi usada em ataques.
A pesquisa foi conduzida por Ofek Levin por meio de um programa de bolsas da empresa de segurança Enclave, que publicou os detalhes técnicos em 23 de outubro de 2026. A Microsoft atribuiu o CVE em 8 de setembro e classificou a falha com nota 8,6 na escala CVSS, com o nível “Importante”.
No Android, o Authenticator faz mais do que exibir códigos de seis dígitos. Ele também atua como broker de autenticação: quando o Teams, o Outlook ou outro aplicativo da Microsoft precisa autenticar um usuário, solicita a operação ao Authenticator, que devolve um token, uma credencial digital que comprova que o usuário está conectado. Como esse broker controla o acesso à conta inteira, deve verificar cuidadosamente a quais aplicativos concede tokens.
A falha permitia que um aplicativo não autorizado obtivesse um token. O Authenticator disponibiliza um componente chamado AccountChooserActivity, que qualquer aplicativo instalado no dispositivo pode iniciar. Quando o aplicativo do invasor o acionava, o Authenticator montava a solicitação do token usando informações fornecidas pelo próprio aplicativo, inclusive o nome do aplicativo que ele alegava representar. O aplicativo dizia ser o Teams, e o broker acreditava.
Uma verificação de assinatura deveria impedir esse tipo de ataque, mas não funcionava. A checagem consultava a assinatura legítima do aplicativo imitado e confirmava que a solicitação correspondia a ela. Como o Teams estava instalado no dispositivo, sua assinatura verdadeira podia ser consultada, e a verificação era aprovada.
A Enclave constatou que o Authenticator também conseguia identificar qual aplicativo havia feito a solicitação, mas não usava essa informação para decidir se deveria entregar um token.
Nos testes da Enclave, ao se passar pelo Teams e solicitar tokens do Microsoft Graph, o aplicativo recebia permissões para ler e enviar e-mails, além de ler e editar arquivos e calendários, entre outras ações.
A Microsoft descreve o resultado de forma mais ampla: um invasor que explorasse a falha com sucesso poderia se autenticar como o usuário conectado e acessar os recursos dele. Os tokens se aplicam à conta corporativa conectada ao Authenticator naquele dispositivo, não a outras contas.
Há uma divergência entre os relatos que merece atenção. A Enclave informou que sua prova de conceito obtinha tokens sem interação do usuário, desde que houvesse uma conta conectada no dispositivo.
Já o comunicado da Microsoft afirma que a exploração exige a instalação de um aplicativo malicioso no dispositivo e que a vítima seja convencida a concluir um processo de autenticação no Authenticator. A nota CVSS da empresa também indica que a falha requer interação do usuário.
A Microsoft afirma que a falha não foi explorada nem divulgada publicamente antes da correção e considera a exploração “menos provável”. A vulnerabilidade foi incluída no Patch Tuesday de setembro de 2026 da empresa, mas não estava entre as duas falhas do Windows apontadas naquele mês como já exploradas em ataques. Em 26 de outubro de 2026, a vulnerabilidade não constava no catálogo Known Exploited Vulnerabilities (KEV) da CISA, nos Estados Unidos.
A correção é atualizar o Microsoft Authenticator para Android para a versão 6.2606.4246 ou posterior, conforme indicado no comunicado da Microsoft. Organizações que administram dispositivos Android podem exigir essa versão mínima por meio de suas ferramentas de gerenciamento. O comunicado apresenta a correção, mas não informa se a atualização invalida tokens que um aplicativo malicioso talvez já tenha obtido. Isso continua indefinido nas fontes disponíveis.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...