Microsoft Authenticator Android: furt de tokenuri fără permisiuni

O vulnerabilitate din Microsoft Authenticator pentru Android permitea unei aplicații instalate pe același telefon, fără nicio permisiune și fără interacțiunea utilizatorului, să obțină tokenurile de acces ale contului Microsoft de serviciu. Știrea a fost publicată pe 27 octombrie 2026 de Help Net Security și The Hacker News, iar a doua zi de heise Security. Defectul este deja corectat: este identificat ca CVE-2026-80097 și afectează versiunile anterioare lui 6.2606.4246.

Detaliile tehnice disponibile provin mai ales din articolul Help Net Security, singurul al cărui text complet l-am putut citi; de la celelalte două publicații cunoaștem titlul, care confirmă punctul central: aplicații fără permisiuni capabile să fure tokenurile conturilor de serviciu.

Rolul lui Authenticator ca broker

Pe Android, Authenticator nu afișează doar coduri de unică folosință. Funcționează ca broker de autentificare: când Teams, Outlook sau o altă aplicație Microsoft trebuie să autentifice utilizatorul, cere tokenul de la Authenticator, care îl emite în numele contului înregistrat pe dispozitiv. Tocmai pentru că păstrează accesul la întregul cont, brokerul ar trebui să verifice riguros ce aplicație îi cere un token.

Potrivit Help Net Security, cercetătorul Ofek Levin, din programul de fellowship al Enclave, a descoperit că această verificare nu funcționa:

• o componentă a lui Authenticator putea fi apelată de orice aplicație de pe dispozitiv;
• la cererea unui token, Authenticator avea încredere în identitatea declarată de aplicația care apela;
• verificarea prevăzută compara datele cererii cu cele ale aplicației Microsoft legitime instalate pe telefon, dar acestea sunt date pe care orice aplicație le poate citi, deci ușor de imitat;
• Authenticator cunoștea identitatea reală a apelantului, dar nu o folosea pentru a decide dacă să aibă încredere.

În practică, o aplicație rău intenționată se putea prezenta drept Teams și primea tokenurile destinate lui Teams. Este un tipar cunoscut la aplicațiile Android care expun componente altor aplicații: sistemul de operare permite să afli cine apelează, iar securitatea depinde de faptul că acea componentă folosește cu adevărat această informație și nu datele furnizate de apelant.

Ce permiteau tokenurile

Help Net Security relatează că, având un singur cont de serviciu înregistrat în Authenticator, aplicația de test a cercetătorilor a obținut tokenuri care permiteau:

• citirea și trimiterea de emailuri din căsuța victimei;
• citirea și modificarea fișierelor, a calendarului și a site-urilor SharePoint;
• trimiterea de mesaje Teams în numele victimei;
• dându-se drept Authenticator însuși, modificarea metodelor de autentificare ale contului, inclusiv crearea și ștergerea de passkey-uri.

Ultimul punct este cel mai delicat: un passkey adăugat de atacator îi permite să acceseze în continuare contul chiar și după ce aplicația rău intenționată a fost ștearsă de pe telefon. Potrivit aceleiași surse, furtul era silențios: nicio cerere de confirmare și niciun avertisment pentru utilizator.

Limita atacului este punctul de plecare: este nevoie de o aplicație rău intenționată instalată pe dispozitiv, deci de un utilizator păcălit să o instaleze. Help Net Security nu raportează cazuri de exploatare reală.

În termeni MITRE ATT&CK (clasificarea noastră, nu a surselor), lanțul corespunde furtului de tokenuri de aplicație pe mobil (T1635, Steal Application Access Token), folosirii lor ca material alternativ de autentificare (T1550.001) și persistenței prin modificarea metodelor de autentificare ale contului (T1098, Account Manipulation).

Corecție și gravitate

Enclave a raportat defectul către Microsoft prin divulgare responsabilă. Microsoft l-a confirmat și a publicat corecția pe 8 septembrie 2026, cu un scor CVSS de 8.6. Sunt vulnerabile toate versiunile Authenticator pentru Android anterioare lui 6.2606.4246. Sursele nu indică urmări pentru Authenticator pe iOS.

Impactul pentru companiile europene și italiene

Authenticator este foarte răspândit ca al doilea factor și ca broker pentru Microsoft 365, inclusiv pe telefoanele personale folosite la serviciu (BYOD), unde compania controlează puțin ce se instalează. Un token furat în acest fel oferă acces la email, documente și Teams fără a trece prin autentificare, iar passkey-ul adăugat rezistă curățării telefonului.

Pentru entitățile NIS2, autentificarea multifactor este una dintre măsurile cerute: această vulnerabilitate amintește că al doilea factor trebuie gestionat ca orice alt software, cu actualizări și versiuni minime impuse. Un cont compromis cu acces la email și documente poate deveni un incident semnificativ, cu termenele de notificare stabilite de transpunerea națională a NIS2 (în Italia, către CSIRT Italia conform D.Lgs. 138/2024).

Ce să faci acum

• Actualizează Microsoft Authenticator pe Android la versiunea 6.2606.4246 sau o versiune ulterioară și verifică versiunea instalată efectiv pe dispozitivele companiei.
• Dacă gestionezi dispozitivele cu un MDM, impune versiunea minimă de Authenticator și distribuie actualizarea prin Google Play gestionat.
• Blochează instalarea din surse necunoscute (sideloading), cel puțin în profilul de serviciu, și limitează aplicațiile care pot fi instalate pe dispozitivele gestionate.
• Verifică metodele de autentificare înregistrate pe conturi, mai ales passkey-urile adăugate sau șterse recent: în jurnalele de audit Microsoft Entra ID, caută înregistrări de metode de securitate noi care nu pot fi atribuite utilizatorului.
• Dacă ai dubii privind un cont, elimină metodele necunoscute, revocă sesiunile active și cere utilizatorului să se autentifice din nou de pe un dispozitiv actualizat.
• Amintește-le utilizatorilor să instaleze aplicații doar din magazine de încredere: vulnerabilitatea necesita oricum o aplicație rău intenționată pe telefon.

Ultima actualizare: 28 octombrie 2026