Microsoft corrige falha grave no Authenticator que expunha contas de trabalho no Android

A Microsoft corrigiu uma falha de segurança grave no Microsoft Authenticator para Android que podia entregar o controle de contas corporativas a qualquer aplicativo malicioso instalado no celular. E o pior: o ataque não exigia permissões especiais nem que o usuário clicasse em nada.

Segundo a empresa, a vulnerabilidade permitia que um app malicioso se passasse por qualquer aplicativo legítimo da Microsoft e roubasse os tokens de autenticação armazenados pelo Authenticator. Com esses tokens nas mãos, o invasor conseguia acessar o e-mail profissional, o calendário, as mensagens do Teams e arquivos do trabalho como se fosse o próprio dono da conta.

Como o ataque funcionava

O token de autenticação é a peça central dessa história. É ele que permite que um serviço reconheça um usuário que já fez login sem exigir senha a cada requisição. E era exatamente esse token que o ataque conseguia roubar.

A falha foi descoberta pela empresa de segurança Enclave, que descreveu o problema em detalhes. “Um aplicativo Android sem privilégios e com zero permissões conseguia se passar por qualquer app first-party da Microsoft e fazer com que o Microsoft Authenticator entregasse os tokens daquele aplicativo”, explicou a empresa.

Na prática, não era necessário que o usuário fizesse nada além de ter o Authenticator instalado e completar um fluxo de autenticação legítimo em algum momento. O app malicioso, que podia vir de qualquer fonte, não precisava de permissões de acessibilidade, nem de acesso a notificações, nem de qualquer outro privilégio especial no sistema. Em testes, a Enclave criou um aplicativo que conseguiu acesso total ao e-mail, calendário, Teams e arquivos da vítima.

A Microsoft Security classificou a brecha como grave e afirmou que um invasor que a explorasse poderia “obter a capacidade de se autenticar contra um host remoto usando as credenciais do usuário atual”. O vetor de ataque, segundo a empresa, envolvia instalar e rodar um aplicativo malicioso no Android e convencer o usuário a completar um fluxo de autenticação no Microsoft Authenticator.

O que a Microsoft fez

A correção já está disponível desde 8 de setembro de 2026. Quem usa o Microsoft Authenticator no Android e mantém o aplicativo atualizado automaticamente já deve estar protegido. A versão que inclui o patch foi publicada naquela data, e a Microsoft recomenda que todos os usuários verifiquem se estão rodando a versão mais recente.

A empresa agradeceu publicamente à Enclave por ter reportado a falha de forma responsável, permitindo que a correção fosse desenvolvida e aplicada antes da divulgação pública da vulnerabilidade. Esse tipo de processo é conhecido como divulgação responsável e é prática padrão na indústria de segurança.

Como saber se você está protegido

Para verificar se o seu Microsoft Authenticator já tem a correção, vá até as configurações do aplicativo ou a loja de apps do seu Android e veja a data da última atualização. Se o app foi atualizado em 8 de setembro de 2026 ou depois, você está protegido. Caso contrário, busque pela atualização manual na loja ou reinstale o aplicativo.

📲 Esse tipo de brecha mostra como um app aparentemente inofensivo pode virar uma porta de entrada para dados corporativos. Para não perder nenhum alerta de segurança desse naipe, entra no Canal do TS no WhatsApp.

A falha já foi corrigida, mas o caso serve de alerta: qualquer aplicativo baixado de fontes não confiáveis pode ser o vetor de um ataque desse tipo. Manter o Authenticator atualizado é a primeira linha de defesa, mas desconfiar de apps que pedem fluxos de login incomuns também ajuda.

Fonte: Thurrott