O que aconteceu com o Microsoft Authenticator

Pesquisadores da Enclave divulgaram uma falha no Microsoft Authenticator para Android, catalogada como CVE-2026-80097. Ela permitia que um aplicativo malicioso, sem permissões especiais, obtivesse tokens de acesso de contas Microsoft de trabalho.

Não houve invasão da infraestrutura da Microsoft, e as fontes consultadas não relatam exploração real da falha. O que existe é uma vulnerabilidade já corrigida, demonstrada pelos próprios pesquisadores com um aplicativo de teste.

ℹ️
Resumo rápido

A falha foi corrigida. Quem usa o Authenticator no Android deve estar na versão 6.2606.4246 ou posterior.

Como a falha funcionava

No Android, o Authenticator funciona como intermediário (broker): ele entrega tokens de acesso a aplicativos da Microsoft, como Teams e Outlook, para que o usuário não precise entrar de novo em cada um.

Segundo a análise da Enclave, um componente do Authenticator podia ser acionado por qualquer aplicativo instalado no aparelho. O app conferia o endereço de redirecionamento informado pelo chamador, mas confiava na identidade que o próprio chamador declarava.

Na prática, um aplicativo malicioso podia se passar pelo Teams e pedir os tokens dele. O Authenticator sabia quem era o chamador real, mas não usou essa informação na decisão de confiança.

O que um invasor poderia fazer com os tokens

Nos testes dos pesquisadores, com uma conta de trabalho conectada ao aparelho, o token roubado permitiu:

  • ler e enviar e-mails;
  • ler e alterar arquivos;
  • acessar calendário e sites do SharePoint;
  • enviar mensagens no Teams;
  • alterar métodos de login, incluindo criar e excluir passkeys.

O roubo acontecia sem aviso ao usuário. Havia, porém, um pré-requisito importante: o aplicativo malicioso precisava estar instalado no aparelho.

Gravidade, versões e correção

A Microsoft atribuiu à falha a pontuação CVSS 8,6 (alta), associada a autenticação inadequada (CWE-287). Versões do Authenticator para Android anteriores à 6.2606.4246 são afetadas.

De acordo com a Enclave, a Microsoft confirmou o problema, corrigiu o aplicativo e publicou o CVE em 8 de setembro de 2026. A divulgação pública da pesquisa veio em 27 de outubro de 2026. As fontes consultadas não informam a data em que a falha foi reportada à Microsoft.

⚠️
Atenção

Falha corrigida não é o mesmo que app atualizado. Se a atualização automática estiver desligada, o aparelho continua vulnerável.

Como se proteger

  1. Abra a Google Play, procure Microsoft Authenticator e confira se a versão instalada é 6.2606.4246 ou posterior.
  2. Ative a atualização automática do app.
  3. Instale aplicativos apenas de fontes confiáveis e remova os que você não usa.
  4. Em empresas, administradores devem verificar a versão do Authenticator nos aparelhos gerenciados e revisar os métodos de login registrados nas contas.

O que muda para empresas

O risco mais relevante está em contas de trabalho: o token roubado dava acesso a e-mail, arquivos e Teams. Equipes de TI devem confirmar a versão do Authenticator nos aparelhos Android gerenciados e revisar métodos de login e passkeys registrados em contas sensíveis.

Políticas que limitam a instalação de aplicativos fora da loja oficial reduzem a chance de um app malicioso chegar ao aparelho, que era o pré-requisito da falha.

Isso significa que o Authenticator não é seguro?

Não. Autenticação em duas etapas continua sendo uma das defesas mais eficazes contra roubo de senha. A falha mostra algo diferente: aplicativos de segurança também têm bugs, e manter tudo atualizado faz parte da proteção.

O caso também lembra que um token de acesso vale tanto quanto a senha enquanto estiver válido. Por isso, quem entrega tokens a outros aplicativos precisa verificar quem está pedindo.

Fontes

Os dados deste texto vêm da pesquisa original e de reportagens especializadas:

Atualizado em 12 de novembro de 2026.