Uma falha no Microsoft Authenticator para Android permitia que uma app maliciosa, instalada no mesmo telemóvel e sem pedir permissões, se fizesse passar por apps da Microsoft e obtivesse acesso à conta de trabalho do utilizador. Com esse acesso, podia ler e enviar e-mails, mexer em ficheiros do OneDrive e do SharePoint, ver o calendário e até criar ou apagar passkeys da conta.
Com efeito, a Microsoft corrigiu o problema em setembro, na versão 6.2606.4246 da app, mas só agora a empresa de segurança Enclave, que o descobriu, revelou os detalhes técnicos. Se usas o Authenticator no Android para entrar no Microsoft 365 da empresa, explicamos o que estava em causa e como confirmas em dois minutos que estás protegido.
Como funcionava a falha no Microsoft Authenticator
No Android, o Microsoft Authenticator funciona como intermediário de autenticação: quando abres o Teams ou o Outlook, são essas apps que pedem ao Authenticator um código de acesso (token) para a tua conta de trabalho. O problema, segundo a Enclave, estava num componente da app, o seletor de contas, que ficava exposto a qualquer outra app instalada.
Uma app maliciosa podia chamar esse componente fazendo-se passar, por exemplo, pelo Teams. O Authenticator entregava-lhe então um token válido, com as mesmas permissões que daria ao Teams verdadeiro: ler e enviar e-mails, aceder a ficheiros e calendários, entrar em sites do SharePoint e enviar mensagens no chat.
Se a app se fizesse passar pelo próprio Authenticator, o resultado era ainda mais grave. Segundo o investigador Ofek Levin, que batizou a falha de AuthMask, o token obtido permitia alterar os métodos de autenticação da conta, incluindo criar e apagar passkeys, o que abria a porta a um acesso persistente.
O que diz a Microsoft
A Microsoft registou a falha como CVE-2026-80097 a 8 de setembro e classifica-a como uma elevação de privilégios de gravidade «Importante». A empresa indica que a falha não tinha sido divulgada publicamente antes da correção e que não tem conhecimento de exploração ativa, considerando-a «menos provável».
Há, contudo, uma diferença entre as duas descrições. A Microsoft diz que o atacante teria de convencer a vítima a instalar a app maliciosa e a concluir um processo de autenticação no Authenticator. A Enclave afirma que bastava a app estar instalada num telemóvel com uma conta de trabalho já iniciada, sem mais interação.
Em qualquer caso, a falha só afeta o Android e as versões do Microsoft Authenticator anteriores à 6.2606.4246, que é a que a Microsoft indica como corrigida.
Como confirmar que estás protegido
Na maioria dos telemóveis, o Authenticator atualiza-se sozinho pela Google Play Store. Mesmo assim, vale a pena confirmar:
- Abre a Google Play Store, procura Microsoft Authenticator e, se aparecer o botão Atualizar, toca nele.
- Para veres a versão instalada, abre a app, toca no menu (as três barras ou os três pontos) e vai a Ajuda ou Acerca de. Deve indicar 6.2606.4246 ou posterior.
- Revê as apps instaladas no telemóvel e desinstala as que não reconheces, sobretudo as que vieram de fora da Play Store.
- Na página Informações de segurança da tua conta Microsoft de trabalho (mysignins.microsoft.com), confirma que não há métodos de autenticação nem passkeys que não criaste.
Se encontrares algo estranho no passo 4, não apagues nada à pressa e fala primeiro com a equipa de informática da tua empresa, que consegue ver o histórico de acessos à conta.
O que deve fazer a tua empresa
Para quem gere telemóveis de trabalho, há três medidas simples. A primeira é exigir, no Microsoft Intune ou noutra solução de gestão de dispositivos, uma versão mínima do Authenticator igual ou superior à 6.2606.4246.
A segunda é restringir a instalação de apps de fora da Google Play Store nos telemóveis geridos, que é a forma mais provável de uma app destas lá chegar. A terceira é rever, no Microsoft Entra ID, os registos de alterações a métodos de autenticação e de passkeys desde o início de setembro.
A nossa análise
A falha mostra o reverso de concentrar a autenticação numa única app. O Authenticator protege a conta precisamente porque guarda as chaves de todas as outras apps da Microsoft, e isso faz dele um alvo valioso quando algo corre mal.
A boa notícia é que a correção existe há mais de um mês e chega pela atualização automática. A má é que nem todas as empresas controlam as versões instaladas nos telemóveis dos trabalhadores, e é aí que um problema já resolvido pode continuar aberto.