Microsoft Authenticator Android: furto di token senza permessi

Una vulnerabilità di Microsoft Authenticator per Android permetteva a un’app installata sullo stesso telefono, senza alcun permesso e senza interazione dell’utente, di ottenere i token di accesso dell’account di lavoro Microsoft. La notizia è stata riportata il 27 ottobre 2026 da Help Net Security e The Hacker News e il giorno dopo da heise Security. La falla è già corretta: è tracciata come CVE-2026-80097 e riguarda le versioni precedenti alla 6.2606.4246.

I dettagli tecnici disponibili vengono soprattutto dall’articolo di Help Net Security, l’unico di cui abbiamo potuto leggere il testo completo; delle altre due testate conosciamo il titolo, che conferma il punto centrale: app senza permessi in grado di sottrarre i token degli account di lavoro.

Il ruolo di Authenticator come broker

Su Android, Authenticator non si limita a mostrare i codici monouso. Fa da broker di autenticazione: quando Teams, Outlook o un’altra app Microsoft deve far accedere l’utente, chiede il token ad Authenticator, che lo rilascia per conto dell’account registrato sul dispositivo. Proprio perché custodisce l’accesso all’intero account, il broker dovrebbe verificare con rigore quale app gli sta chiedendo un token.

Secondo Help Net Security, il ricercatore Ofek Levin, del programma di fellowship di Enclave, ha scoperto che questa verifica non funzionava:

• un componente di Authenticator poteva essere richiamato da qualsiasi app presente sul dispositivo;
• alla richiesta di un token, Authenticator si fidava dell’identità dichiarata dall’app chiamante;
• il controllo previsto confrontava i dati della richiesta con quelli dell’app Microsoft legittima installata sul telefono, ma sono dati che qualsiasi app può leggere, quindi facili da imitare;
• Authenticator conosceva l’identità reale del chiamante, ma non la usava per decidere se fidarsi.

In pratica un’app malevola poteva presentarsi come Teams e ricevere i token destinati a Teams. È uno schema noto nelle app Android che espongono componenti ad altre app: il sistema operativo permette di sapere chi sta chiamando, e la sicurezza dipende dal fatto che il componente usi davvero quell’informazione invece dei dati forniti dal chiamante.

Cosa si poteva fare con i token

Help Net Security riferisce che, con un solo account di lavoro registrato in Authenticator, l’app di prova dei ricercatori ha ottenuto token che permettevano di:

• leggere e inviare email dalla casella della vittima;
• leggere e modificare file, calendario e siti SharePoint;
• inviare messaggi Teams a nome della vittima;
• presentandosi come Authenticator stesso, modificare i metodi di accesso dell’account, compresa la creazione e la cancellazione di passkey.

L’ultimo punto è il più delicato: una passkey aggiunta dall’attaccante gli consente di continuare ad accedere anche dopo che l’app malevola è stata rimossa dal telefono. Il furto, sempre secondo la stessa fonte, era silenzioso: nessuna richiesta di conferma e nessun avviso per l’utente.

Il limite dell’attacco è il punto di partenza: serve un’app malevola installata sul dispositivo, quindi un utente indotto a installarla. Help Net Security non riporta casi di sfruttamento reale.

In termini MITRE ATT&CK (classificazione nostra, non delle fonti), la catena corrisponde al furto di token applicativi su mobile (T1635, Steal Application Access Token), al loro uso come materiale di autenticazione alternativo (T1550.001) e alla persistenza tramite modifica dei metodi di accesso dell’account (T1098, Account Manipulation).

Correzione e gravità

Enclave ha segnalato la falla a Microsoft con una divulgazione responsabile. Microsoft l’ha confermata e ha pubblicato la correzione l’8 settembre 2026, con punteggio CVSS 8.6. Sono vulnerabili tutte le versioni di Authenticator per Android precedenti alla 6.2606.4246. Le fonti non indicano conseguenze per Authenticator su iOS.

Impatto per le aziende europee e italiane

Authenticator è molto diffuso come secondo fattore e come broker per Microsoft 365 anche sui telefoni personali usati per lavoro (BYOD), dove l’azienda controlla poco quello che viene installato. Un token sottratto in questo modo dà accesso a posta, documenti e Teams senza passare dal login, e la passkey aggiunta resiste alla pulizia del telefono.

Per i soggetti NIS2 l’uso dell’autenticazione a più fattori è una delle misure richieste: questa vulnerabilità ricorda che il secondo fattore va gestito come qualsiasi altro software, con aggiornamenti e versioni minime imposte. Un account compromesso con accesso alla posta e ai documenti può diventare un incidente significativo, con i tempi di notifica al CSIRT Italia previsti dal D.Lgs. 138/2024.

Cosa fare subito

• Aggiorna Microsoft Authenticator su Android alla versione 6.2606.4246 o successiva e verifica la versione effettivamente installata sui dispositivi aziendali.
• Se gestisci i dispositivi con un MDM, imponi la versione minima di Authenticator e distribuisci l’aggiornamento dal Google Play gestito.
• Blocca l’installazione da fonti sconosciute (sideloading) almeno nel profilo di lavoro e limita le app installabili sui dispositivi gestiti.
• Controlla i metodi di autenticazione registrati sugli account, in particolare le passkey aggiunte o cancellate di recente: nei log di audit di Microsoft Entra ID cerca le registrazioni di nuovi metodi di sicurezza non riconducibili all’utente.
• In caso di dubbio su un account, rimuovi i metodi non riconosciuti, revoca le sessioni attive e chiedi all’utente di accedere di nuovo da un dispositivo aggiornato.
• Ricorda agli utenti di installare solo app da store affidabili: la vulnerabilità richiedeva comunque un’app malevola sul telefono.

Ultimo aggiornamento: 28 ottobre 2026