Falha no Microsoft Authenticator permitia que qualquer app Android roubasse sua conta de trabalho

Pesquisadores da Enclave descobriram uma falha grave no Microsoft Authenticator para Android: qualquer aplicativo instalado no celular podia pedir tokens de login sem nenhuma permissão e sem nenhum toque do usuário, e o Authenticator confiava no que o app dizia ser. Bastava um app malicioso se declarar o Teams para sair com os tokens reais.

Com esses tokens, um atacante conseguia ler e enviar e-mails, alterar arquivos, calendário e sites do SharePoint, mandar mensagens no Teams em nome da vítima e até cadastrar uma nova passkey para manter o acesso mesmo depois de o app malicioso ser removido. A Microsoft classificou a falha com CVSS 8.6 e publicou a correção como CVE-2026-80097.

A atualização já está disponível. Atualize o Microsoft Authenticator pela Play Store para a versão 6.2606.4246 ou superior e, se você gerencia dispositivos corporativos, exija essa versão mínima em todos os aparelhos. Sem aviso, sem prompt, sem desculpa para continuar exposto.