Uma falha de segurança descoberta no aplicativo Microsoft Authenticator para Android colocava em risco contas corporativas ao permitir que aplicativos maliciosos sem nenhuma permissão no sistema roubassem tokens de autenticação. A vulnerabilidade, registrada sob o código CVE-2026-80097 e avaliada com nota 8.6 em gravidade, foi corrigida pela Microsoft na versão 6.2606.4246 do aplicativo, lançada no mês passado. A empresa orienta todos os usuários a realizarem a atualização imediata.
O problema foi descoberto pelo pesquisador Ofek Levin, que atuava por meio de um programa de bolsa na empresa de segurança Enclave. De acordo com o recém-publicado relatório da Enclave, o Authenticator faz mais no sistema Android do que apenas gerar códigos numéricos de seis dígitos.
O aplicativo atua como um gerenciador central de acesso, conhecido tecnicamente como “broker”. Quando precisam autenticar um usuário, softwares como o Teams ou o Outlook solicitam à plataforma um token, que funciona como um passe digital provando que a pessoa está logada.
Falha no Authenticator expõe dados corporativos Foto: Reprodução/Authenticator
A brecha ocorria porque o Authenticator expunha um componente interno chamado “AccountChooserActivity”, que podia ser iniciado por qualquer aplicativo presente no dispositivo. Quando um software malicioso acionava esse reccurso, o aplicaitvo criava a solicitação de acesso utilizando as informações fornecidas pelo invasor, incluindo o nome do programa que fingia ser, como o Teams.
A checagem de segurança falhava porque o Authenticator apenas conferia se a assinatura digital do aplicativo indicado existia no aparelho. Como o Microsoft Teams original estava instalado no celular, o registro correto era encontrado e a verificação passava por engano. O programa sabia qual aplicativo fez o pedido de verdade, mas ignorava esse dado na hora de entregar o passe de acesso.
Em testes práticos realizados pela equipe da Enclave, ao fingir ser o Teams e solicitar conexões com a ferramenta Microsoft Graph, o sistema retornava permissões amplas que incluíam ler e enviar e-mails, acessar e modificar arquivos, e manipular calendários corporativos.
Controvérsia sobre a interação necessária
Há uma divergência entre a descoberta da empresa de segurança e a posição oficial da Microsoft quanto à facilidade de exploração da falha. A Enclave relatou na pesquisa que o método de prova de conceito conseguia retornar os tokens de acesso sem nenhuma interação por parte da vítima, o que bastava apenas que a conta estivesse conectada no gerenciador.
A nossa prova de conceito conseguiu extrair tokens sem nenhuma interação do usuário, além da presença do broker com uma conta de trabalho conectada”
Ofek Levin, pesquisador
Por outro lado, fabricante do sistema operacional e do aplicativo sustentou, em boletim oficial de segurança, que a exploração exigia a instalação prévia de um aplicativo malicioso no dispositivo e que a vítima concluísse um fluxo de autenticação dentro do próprio Authenticator. Em nota, a companhia pontuou que “a exploração bem-sucedida exige que um invasor convença o usuário a concluir um fluxo de autenticação”. A Microsoft classificou a falha como de menor probabilidade de ataque e sem registros de uso malicioso anterior à correção.
Como proteger o dispositivo
Para mitigar o risco associado à falha CVE-2026-80097, a principal medida exigida é a atualização do aplicativo, segundo o boletim oficial da Microsoft e o relatório da Enclave.
Os usuários de celulares com o sistema operacional Android devem verificar a versão instalada e garantir que utilizam a compilação 6.2606.4246 ou posterior, disponível na loja oficial de aplicativos. Organizações e empresas que gerenciam frotas de celulares corporativos também podem impor essa versão mínima por meio de políticas de gerenciamento de dispositivos móveis.
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.
