Quem usa o Microsoft Authenticator no Android para entrar no e-mail e nos arquivos do trabalho precisa conferir a versão do aplicativo. Uma falha registrada como CVE-2026-80097, com nota 8.6 de gravidade, permitia que um app malicioso instalado no mesmo celular obtivesse tokens de acesso a contas corporativas da Microsoft sem pedir nenhuma permissão ao sistema. A correção está na versão 6.2606.4246, liberada pela Microsoft no mês passado.
Como o ataque funcionava
O Authenticator faz mais do que mostrar códigos de seis dígitos. No Android, ele é o “broker” das contas Microsoft: quando o Teams ou o Outlook precisam provar que o usuário está logado, pedem a ele um token, uma credencial temporária que abre os serviços da empresa.
O pesquisador Ofek Levin, bolsista da empresa de segurança Enclave, descobriu que um componente interno do app, o AccountChooserActivity, ficava exposto a qualquer outro aplicativo do aparelho. Um programa malicioso podia acioná-lo e se apresentar como outro software, o Teams, por exemplo. O Authenticator só verificava se a assinatura digital do app declarado existia no celular. Como o Teams verdadeiro estava instalado, a checagem passava. O pior detalhe: o Authenticator sabia qual aplicativo tinha feito o pedido de fato, mas ignorava essa informação na hora de liberar o token.
Nos testes da Enclave, o app falso que se passava pelo Teams pediu acesso ao Microsoft Graph, a interface que conecta os serviços do Microsoft 365, e recebeu permissões para ler e enviar e-mails, abrir e alterar arquivos e mexer em calendários corporativos. Na prática, é a rotina de trabalho inteira de alguém na mão de quem controla o app.
Microsoft e Enclave discordam sobre o risco
As duas partes divergem sobre a facilidade do ataque. Segundo o relatório da Enclave, a prova de conceito obtinha os tokens sem nenhuma interação da vítima; bastava a conta estar conectada no Authenticator.
No boletim de segurança, a Microsoft diz que a exploração exigia duas condições: um app malicioso já instalado e a vítima concluindo um fluxo de autenticação dentro do Authenticator. A empresa classificou a falha como de menor probabilidade de exploração e afirma não ter registro de ataques antes do conserto.
Mesmo na leitura da Microsoft, o cenário é plausível. Instalar app de fonte duvidosa é comum no Android, e uma tela de login a mais raramente levanta suspeita em quem aprova acessos pelo Authenticator várias vezes ao dia. Para empresas brasileiras que adotaram o Microsoft 365 com aprovação de login pelo celular, o aparelho de cada funcionário é a porta de entrada.
O que fazer
A medida indicada pela Microsoft e pela Enclave é atualizar. Abra a Play Store, procure o Microsoft Authenticator e confirme que a versão instalada é a 6.2606.4246 ou posterior. Equipes de TI que administram celulares corporativos podem exigir essa versão mínima pelas políticas de gerenciamento de dispositivos móveis (MDM).
