Falha no Microsoft Authenticator permitia roubo de tokens de contas corporativas no Android

A Microsoft corrigiu uma vulnerabilidade no Authenticator para Android que poderia permitir que um aplicativo malicioso sem permissões se passasse por um software confiável da empresa, como o Teams, e obtivesse tokens de autenticação associados à conta corporativa da vítima.

A falha, identificada como CVE-2026-80097, foi corrigida no Microsoft Authenticator para Android 6.2606.4246. Usuários e organizações que utilizam versões anteriores devem atualizar o aplicativo.

Em testes realizados por pesquisadores, os tokens obtidos deram acesso a recursos como e-mails, arquivos e calendários da conta comprometida. A Microsoft afirma, porém, que a exploração exige que a vítima conclua uma etapa de autenticação no Authenticator e informa não ter identificado ataques explorando a vulnerabilidade.

A descoberta foi feita pelo pesquisador Ofek Levin durante um programa de fellowship da empresa de segurança Enclave, que publicou os detalhes técnicos em 23 de outubro de 2026. A Microsoft atribuiu o CVE em 8 de setembro e classificou a vulnerabilidade como "Importante", com pontuação CVSS de 8,6.

Authenticator funciona como intermediário de autenticação

No Android, o Microsoft Authenticator não serve apenas para gerar códigos de seis dígitos. O aplicativo também funciona como um broker de autenticação para serviços corporativos.

Quando aplicativos como Teams ou Outlook precisam autenticar um usuário, eles podem solicitar ao Authenticator um token que comprova que aquela pessoa já está autenticada. Esse token funciona como uma credencial digital para acessar recursos vinculados à conta.

Por controlar esse processo, o Authenticator precisa verificar corretamente qual aplicativo está solicitando o token. A CVE-2026-80097 permitia contornar essa separação.

Segundo a análise da Enclave, o Authenticator expunha um componente chamado AccountChooserActivity, que podia ser iniciado por qualquer aplicativo instalado no dispositivo.

Ao acionar esse componente, um aplicativo malicioso conseguia fornecer parâmetros utilizados pelo Authenticator para construir a solicitação do token, incluindo a identidade do aplicativo que supostamente estava fazendo o pedido.

Dessa forma, o software malicioso poderia afirmar que era o Microsoft Teams, por exemplo, e o Authenticator aceitava essa identidade.

Verificação de assinatura não impedia o ataque

Uma verificação de assinatura deveria impedir a falsificação, mas o mecanismo não validava adequadamente a identidade do aplicativo que realmente originava a solicitação.

O Authenticator consultava a assinatura legítima do aplicativo que estava sendo imitado e verificava se ela correspondia à solicitação. Se o Teams estivesse instalado no aparelho, sua assinatura verdadeira poderia ser localizada e a validação seria concluída com sucesso.

A Enclave identificou ainda que o Authenticator tinha condições de determinar qual aplicativo havia efetivamente iniciado a solicitação, mas essa informação não era utilizada para decidir se o token deveria ser entregue.

Nos testes dos pesquisadores, um aplicativo se passando pelo Teams conseguiu solicitar tokens do Microsoft Graph com permissões que incluíam leitura e envio de e-mails, leitura e gravação de arquivos e acesso de leitura e escrita aos calendários.

A Microsoft descreve o impacto de maneira mais ampla: um invasor que explorasse a vulnerabilidade com sucesso poderia autenticar-se como o usuário conectado e acessar os recursos disponíveis para aquela conta. O ataque afetaria a conta corporativa configurada no Authenticator daquele dispositivo, e não outras contas.

Microsoft e pesquisadores divergem sobre interação da vítima

Há uma diferença importante entre a análise da Enclave e a avaliação publicada pela Microsoft sobre os requisitos necessários para explorar a vulnerabilidade.

A Enclave afirma que sua prova de conceito conseguiu obter tokens sem interação adicional do usuário, desde que uma conta já estivesse autenticada no dispositivo.

A Microsoft, por outro lado, informa que o ataque exige a instalação de um aplicativo malicioso no aparelho e que o usuário seja convencido a concluir um fluxo de autenticação no Authenticator. A própria classificação CVSS atribuída pela empresa considera necessária a interação do usuário.

Até o momento, não há indicação de que a vulnerabilidade tenha sido explorada em ataques reais. A Microsoft também afirma que a falha não havia sido divulgada publicamente antes da correção e classifica a probabilidade de exploração como "menos provável".

A CVE-2026-80097 fez parte das correções do Patch Tuesday de setembro de 2026 e, até 26 de outubro, não constava no catálogo Known Exploited Vulnerabilities (KEV) da CISA, que reúne vulnerabilidades com evidências conhecidas de exploração.

Atualização do Authenticator corrige vulnerabilidade

A correção está disponível no Microsoft Authenticator para Android 6.2606.4246 ou posterior. Empresas que administram smartphones Android por meio de soluções de gerenciamento de dispositivos podem estabelecer essa versão como requisito mínimo.

A documentação disponível não esclarece se a atualização invalida automaticamente eventuais tokens que possam ter sido obtidos antes da instalação da correção. Portanto, esse comportamento permanece incerto com base nas informações divulgadas até agora.