Falha corrigida no Authenticator Android permitia roubo de tokens corporativos sem permissões
Falha no Microsoft Authenticator para Android, rastreada como CVE-2026-80097 e avaliada em 8.6 pela Microsoft, permitia que um app malicioso sem nenhuma permissão se passasse por apps confiáveis, como o Teams, e obtivesse tokens da conta corporativa conectada. Pesquisadores demonstraram acesso a e-mails, arquivos, calendários e conversas do Teams; a Microsoft afirma não ter encontrado evidências de exploração. Atualize o app para a versão 6.2606.4246 ou posterior.
O que aconteceu
Uma falha no Microsoft Authenticator para Android permitia que um app malicioso, sem nenhuma permissão, se passasse por aplicativos confiáveis da Microsoft, como o Teams, e roubasse tokens da conta corporativa conectada no Authenticator. Pesquisadores demonstraram que os tokens roubados davam acesso a e-mails, arquivos, calendários e conversas do Teams. A Microsoft já corrigiu o problema.
Por que importa
Funcionários que usam o Authenticator no Android com conta corporativa eram o alvo. Segundo os pesquisadores, os tokens roubados davam acesso a e-mails (inclusive envio de mensagens), arquivos em serviços Microsoft, calendários, conversas do Teams e gerenciamento de métodos de autenticação e passkeys. Com a conta já conectada, os pesquisadores relatam que não era necessária interação adicional do usuário.
O que fazer
Atualize o Microsoft Authenticator para Android para a versão 6.2606.4246 ou posterior em todos os dispositivos. Verifique se ainda existem dispositivos gerenciados com versões anteriores a 6.2606.4246.
Para o time técnico
- CVE
- CVE-2026-80097
- Afetados
- Microsoft Authenticator (Android) · Microsoft Authenticator para Android em versões anteriores a 6.2606.4246; contas corporativas conectadas no app.
- Exploração
- Sem exploração relatada; a Microsoft afirma não ter encontrado evidências de exploração. Pesquisadores demonstraram o roubo de tokens em testes (estágio de prova de conceito).
- Correção
- Atualizar o Microsoft Authenticator para Android para a versão 6.2606.4246 ou posterior.
- Vetor
- Microsoft Authenticator para Android confiava nas informações de identidade fornecidas pelo app solicitante, sem confirmar qual app realmente fez a requisição. Um app malicioso sem nenhuma permissão podia se passar por um app confiável da Microsoft, como o Teams, e solicitar tokens da conta corporativa conectada no Authenticator. Segundo a Microsoft, a exploração exige um app malicioso no dispositivo e interação do usuário durante a autenticação; os pesquisadores relataram obter tokens sem interação adicional quando a conta corporativa já estava conectada.
- Mais detalhes
- Falha rastreada como CVE-2026-80097 e avaliada em 8.6 pela Microsoft. Os tokens roubados davam acesso a e-mails (inclusive envio de mensagens), arquivos em serviços Microsoft, calendários, conversas do Teams e gerenciamento de métodos de autenticação e passkeys.
Linha do tempo
Detalhe novo: pesquisadores demonstraram que os tokens roubados davam acesso a e-mails, arquivos, calendários e conversas do Teams.
Falha numerada como CVE-2026-80097; correção disponível na versão 6.2606.4246 do app para Android.
Pesquisadores detalham falha no Microsoft Authenticator para Android já corrigida pela Microsoft.
Fontes 3 fontes
- @TheHackersNews @TheHackersNews
- Microsoft Authenticator Flaw Let Permissionless Android Apps Steal Work Account Tokens The Hacker News
- @DarkWebInformer @DarkWebInformer
