Falha no Microsoft Authenticator para Android podia expor tokens de contas corporativas
Uma vulnerabilidade no Microsoft Authenticator para Android permitia que um aplicativo malicioso se apresentasse como um programa confiável, como o Teams, e tentasse obter tokens de acesso vinculados à conta corporativa da vítima. A Microsoft corrigiu o problema, registrado como CVE-2026-80097, na versão 6.2606.4246 do aplicativo. Quem ainda usa uma edição anterior deve atualizar o Authenticator.
Em testes conduzidos por pesquisadores, os tokens obtidos possibilitaram acessar recursos associados à conta comprometida, incluindo e-mails, arquivos e calendários. A Microsoft afirma que, para explorar a falha, seria necessário que a vítima concluísse uma etapa de autenticação no aplicativo. A empresa também informa não ter encontrado evidências de ataques reais usando essa vulnerabilidade.
A descoberta é do pesquisador Ofek Levin, feita durante um programa de fellowship da empresa de segurança Enclave. Os detalhes técnicos foram divulgados em 23 de outubro de 2026. A Microsoft atribuiu o identificador CVE em 8 de setembro e classificou o problema como “Importante”, com pontuação CVSS de 8,6.
Como o Authenticator participa da autenticação
No Android, o Microsoft Authenticator não é apenas um gerador de códigos temporários. Em ambientes corporativos, ele pode atuar como intermediário entre o usuário e aplicativos como Teams e Outlook. Quando um desses programas precisa confirmar a identidade da pessoa, solicita ao Authenticator um token, que funciona como uma credencial digital para acessar serviços da organização.
Esse mecanismo depende de uma verificação essencial: o Authenticator precisa confirmar qual aplicativo está pedindo o token. A falha permitia contornar essa proteção e, assim, abrir espaço para que um programa malicioso tentasse se passar por um aplicativo legítimo.
De acordo com a análise da Enclave, o Authenticator disponibilizava um componente chamado AccountChooserActivity, que podia ser iniciado por qualquer aplicativo instalado no dispositivo. Um programa malicioso poderia acioná-lo e fornecer parâmetros usados na criação do pedido de autenticação, inclusive a identidade do aplicativo que supostamente solicitava o token.
Na prática, o aplicativo invasor podia afirmar que era o Microsoft Teams. A verificação de assinatura, que deveria impedir esse tipo de falsificação, não conferia corretamente a identidade do programa que realmente havia iniciado o pedido. Em vez disso, o Authenticator consultava a assinatura legítima do aplicativo imitado. Se o Teams estivesse instalado no aparelho, a assinatura verdadeira poderia ser encontrada e a validação passava.
A Enclave observou ainda que o Authenticator conseguia identificar qual aplicativo havia iniciado a solicitação, mas não usava essa informação para decidir se deveria liberar o token. Nos testes, um programa que se passava pelo Teams conseguiu pedir tokens do Microsoft Graph com permissões para ler e enviar e-mails, acessar arquivos e consultar ou modificar calendários.
A Microsoft descreve o impacto de forma mais ampla: caso a exploração fosse bem-sucedida, o invasor poderia autenticar-se como o usuário conectado e acessar os recursos disponíveis para essa conta. O risco dizia respeito à conta corporativa configurada no Authenticator naquele dispositivo, não às demais contas do usuário.
O que se sabe sobre a interação da vítima
Há uma divergência entre a avaliação dos pesquisadores e a da Microsoft sobre a necessidade de participação do usuário. A Enclave afirma que sua prova de conceito obteve tokens sem uma ação adicional da vítima, desde que uma conta já estivesse autenticada no aparelho.
A Microsoft, por sua vez, diz que o ataque exigiria a instalação de um aplicativo malicioso e que a vítima fosse convencida a concluir um fluxo de autenticação no Authenticator. A classificação CVSS da empresa também considera necessária a interação do usuário.
Até o momento, a Microsoft não identificou exploração da falha em ataques reais e afirma que o problema não havia sido divulgado publicamente antes da correção. A empresa considera menos provável que a vulnerabilidade seja explorada. A CVE-2026-80097 integrou as correções do Patch Tuesday de setembro de 2026 e, até 26 de outubro, não constava no catálogo KEV da CISA, que reúne vulnerabilidades com evidências conhecidas de uso em ataques.
Como reduzir o risco
A medida mais importante é atualizar o Microsoft Authenticator para Android para a versão 6.2606.4246 ou posterior. Em aparelhos gerenciados pela empresa, a equipe de TI pode verificar se a atualização foi instalada e orientar os funcionários que usam versões antigas.
Também é recomendável manter o Android e os demais aplicativos atualizados. Instale programas apenas de fontes confiáveis e desconfie de aplicativos que solicitem instalação fora dos canais habituais, sobretudo se a instalação vier acompanhada de instruções para aprovar uma autenticação inesperada.
Se surgir no Authenticator uma solicitação que você não iniciou, não a aprove. Em caso de dúvida, confirme com a equipe de suporte ou segurança da organização antes de concluir o processo. Essa precaução é especialmente importante porque a avaliação da Microsoft considera que a interação da vítima pode fazer parte do ataque.
Organizações podem complementar a atualização com uma revisão dos registros de autenticação e das atividades das contas corporativas. Caso sejam encontrados acessos incomuns, a equipe responsável pode revogar sessões ou tokens, redefinir credenciais quando necessário e investigar se houve acesso indevido a e-mails, documentos ou calendários.
O episódio também evidencia a importância de proteger os componentes que intermedeiam o acesso a serviços corporativos. Mesmo quando um aplicativo verifica assinaturas digitais, essa proteção precisa estar vinculada à identidade do programa que realmente iniciou a solicitação – e não apenas à assinatura do aplicativo que ele afirma representar.