Falha no Microsoft Authenticator deixava apps roubarem login; já tem correção
Uma vulnerabilidade no Microsoft Authenticator para Android permitia que qualquer aplicativo, sem pedir permissões, se passasse por apps confiáveis e capturasse tokens de login. A Microsoft já liberou a correção.
Por Denise Sampaio · Repórter de Segurança
O que aconteceu
O Microsoft Authenticator, app usado por milhões de pessoas para autenticação em duas etapas (aquele código extra que confirma o login em contas corporativas e pessoais), tinha uma falha grave no Android. Pesquisadores da empresa de segurança Enclave descobriram que um componente interno do app, uma activity chamada AccountChooserActivity, podia ser acionado por qualquer outro aplicativo instalado no celular, mesmo sem permissões especiais.
Na prática, um app malicioso conseguia se disfarçar de aplicativo legítimo da Microsoft, como o Teams, e pedir um token de acesso ao Authenticator. Como o Authenticator não verificava de forma confiável quem estava fazendo o pedido, ele entregava o token para o impostor. Nos testes da Enclave, isso foi suficiente para acessar e-mails, agenda e arquivos confidenciais da conta corporativa da vítima, sem que ela percebesse nada e sem exigir nenhuma interação do usuário.
Foto: reprodução/enclave.ai
A falha recebeu o identificador CVE-2026-80097 e nota 8,6 na escala CVSS 3.1, considerada alta severidade. A Microsoft classificou o problema como uma vulnerabilidade de elevação de privilégio local. Até o momento, não há registro de exploração confirmada em ataques reais — a descoberta partiu de testes de segurança da Enclave, que relatou o caso à Microsoft.
Quem é afetado
Todas as versões do Microsoft Authenticator para Android anteriores à 6.2606.4246 estão vulneráveis. O risco é maior para quem usa o app para acessar contas corporativas vinculadas ao Microsoft 365, Teams e outros serviços da Microsoft via login único. Usuários de iPhone não são afetados, já que a falha é específica da versão Android.
O que fazer agora
- Atualize o Microsoft Authenticator pela Google Play Store o quanto antes, garantindo a versão 6.2606.4246 ou posterior
- Verifique a versão instalada em Configurações do app > Sobre, dentro do próprio Authenticator
- Ative atualizações automáticas na Play Store para não depender de lembrete manual em falhas futuras
- Revise, se possível, os aplicativos instalados no celular e remova os que não reconhecer ou não usar
- Fique atento a avisos da sua empresa, caso o Authenticator seja usado para acesso corporativo, já que times de TI costumam reforçar políticas de atualização nesses casos
A boa notícia é que a correção já está disponível e o processo de atualização é simples. Não é motivo para pânico, mas é um lembrete de que manter apps de autenticação sempre atualizados é parte básica de segurança digital.