{"id":70265,"date":"2026-10-27T14:30:00","date_gmt":"2026-10-27T17:30:00","guid":{"rendered":"https:\/\/jornal24horas.com.br\/?p=70265"},"modified":"2026-10-27T14:30:00","modified_gmt":"2026-10-27T17:30:00","slug":"falha-no-microsoft-authenticator-permite-roubo-de-credenciais-em-dispositivos-android","status":"publish","type":"post","link":"https:\/\/jornal24horas.com.br\/?p=70265","title":{"rendered":"Falha no Microsoft Authenticator permite roubo de credenciais em dispositivos Android"},"content":{"rendered":"

Uma falha de seguran\u00e7a descoberta no aplicativo Microsoft Authenticator para Android colocava em risco contas corporativas ao permitir que aplicativos maliciosos sem nenhuma permiss\u00e3o no sistema roubassem tokens de autentica\u00e7\u00e3o. <\/b>A vulnerabilidade, registrada sob o c\u00f3digo CVE-2026-80097<\/a> e avaliada com nota 8.6 em gravidade, foi corrigida pela Microsoft<\/b> na vers\u00e3o 6.2606.4246 do aplicativo, lan\u00e7ada no m\u00eas passado. A empresa orienta todos os usu\u00e1rios a realizarem a atualiza\u00e7\u00e3o imediata.<\/p>\n

O problema foi descoberto pelo pesquisador Ofek Levin, que atuava por meio de um programa de bolsa na empresa de seguran\u00e7a Enclave. De acordo com o rec\u00e9m-publicado relat\u00f3rio da Enclave<\/a>, o Authenticator<\/b> faz mais no sistema Android<\/b> do que apenas gerar c\u00f3digos num\u00e9ricos de seis d\u00edgitos.<\/p>\n

O aplicativo atua como um gerenciador central de acesso, conhecido tecnicamente como \u201cbroker\u201d. Quando precisam autenticar um usu\u00e1rio, softwares como o Teams<\/b> ou o Outlook<\/b> solicitam \u00e0 plataforma um token, que funciona como um passe digital provando que a pessoa est\u00e1 logada.<\/p>\n\n

\n
\n \"Reprodu\u00e7\u00e3o\/Authenticator\"
Falha no Authenticator exp\u00f5e dados corporativos Foto: Reprodu\u00e7\u00e3o\/Authenticator<\/figcaption><\/figure>\n<\/div>\n

A brecha ocorria porque o Authenticator<\/b> expunha um componente interno chamado \u201cAccountChooserActivity\u201d, que podia ser iniciado por qualquer aplicativo presente no dispositivo. Quando um software malicioso acionava esse reccurso, o aplicaitvo criava a solicita\u00e7\u00e3o de acesso utilizando as informa\u00e7\u00f5es fornecidas pelo invasor, incluindo o nome do programa que fingia ser, como o Teams<\/b>.<\/p>\n

A checagem de seguran\u00e7a falhava porque o Authenticator<\/b> apenas conferia se a assinatura digital do aplicativo indicado existia no aparelho. Como o Microsoft Teams <\/b>original estava instalado no celular, o registro correto era encontrado e a verifica\u00e7\u00e3o passava por engano. O programa sabia qual aplicativo fez o pedido de verdade, mas ignorava esse dado na hora de entregar o passe de acesso.<\/p>\n

Em testes pr\u00e1ticos realizados pela equipe da Enclave, ao fingir ser o Teams<\/b> e solicitar conex\u00f5es com a ferramenta Microsoft Graph<\/b>, o sistema retornava permiss\u00f5es amplas que inclu\u00edam ler e enviar e-mails, acessar e modificar arquivos, e manipular calend\u00e1rios corporativos.<\/p>\n\n

Controv\u00e9rsia sobre a intera\u00e7\u00e3o necess\u00e1ria<\/h2>\n

H\u00e1 uma diverg\u00eancia entre a descoberta da empresa de seguran\u00e7a e a posi\u00e7\u00e3o oficial da Microsoft<\/b> quanto \u00e0 facilidade de explora\u00e7\u00e3o da falha. A Enclave relatou na pesquisa que o m\u00e9todo de prova de conceito conseguia retornar os tokens de acesso sem nenhuma intera\u00e7\u00e3o por parte da v\u00edtima, o que bastava apenas que a conta estivesse conectada no gerenciador.<\/b><\/p>\n

<\/p>\n

Por outro lado, fabricante do sistema operacional e do aplicativo sustentou, em boletim oficial de seguran\u00e7a<\/a>, que a explora\u00e7\u00e3o exigia a instala\u00e7\u00e3o pr\u00e9via de um aplicativo malicioso no dispositivo e que a v\u00edtima conclu\u00edsse um fluxo de autentica\u00e7\u00e3o dentro do pr\u00f3prio Authenticator. <\/b>Em nota, a companhia pontuou que \u201ca explora\u00e7\u00e3o bem-sucedida exige que um invasor conven\u00e7a o usu\u00e1rio a concluir um fluxo de autentica\u00e7\u00e3o\u201d. A Microsoft classificou a falha como de menor probabilidade de ataque e sem registros de uso malicioso anterior \u00e0 corre\u00e7\u00e3o.<\/b><\/p>\n

Como proteger o dispositivo<\/h2>\n

Para mitigar o risco associado \u00e0 falha CVE-2026-80097<\/a>, a principal medida exigida \u00e9 a atualiza\u00e7\u00e3o do aplicativo, segundo o boletim oficial da Microsoft e o relat\u00f3rio da Enclave. <\/p>\n

Os usu\u00e1rios de celulares com o sistema operacional Android devem verificar a vers\u00e3o instalada e garantir que utilizam a compila\u00e7\u00e3o 6.2606.4246 ou posterior, dispon\u00edvel na loja oficial de aplicativos. Organiza\u00e7\u00f5es e empresas que gerenciam frotas de celulares corporativos tamb\u00e9m podem impor essa vers\u00e3o m\u00ednima por meio de pol\u00edticas de gerenciamento de dispositivos m\u00f3veis.<\/p>\n

Siga o TecMundo<\/b><\/a> no X<\/a>, Instagram<\/a>, Facebook<\/a> e YouTube<\/a> e assine a nossa newsletter<\/a> para receber as principais not\u00edcias e an\u00e1lises diretamente no seu e-mail. <\/p>\n

[[{“value”:”Uma falha de seguran\u00e7a descoberta no aplicativo Microsoft Authenticator para Android colocava em risco contas corporativas ao permitir que aplicativos maliciosos sem nenhuma permiss\u00e3o no sistema roubassem tokens de autentica\u00e7\u00e3o. A vulnerabilidade, registrada sob o c\u00f3digo CVE-2026-80097 e avaliada com nota 8.6 em gravidade, foi corrigida pela Microsoft na vers\u00e3o 6.2606.4246 do aplicativo, lan\u00e7ada no m\u00eas passado. A empresa orienta todos os usu\u00e1rios a realizarem a atualiza\u00e7\u00e3o imediata.O problema foi descoberto pelo pesquisador Ofek Levin, que atuava por meio de um programa de bolsa na empresa de seguran\u00e7a Enclave. De acordo com o rec\u00e9m-publicado relat\u00f3rio da Enclave, o Authenticator faz mais no sistema Android do que apenas gerar c\u00f3digos num\u00e9ricos de seis d\u00edgitos.O aplicativo atua como um gerenciador central de acesso, conhecido tecnicamente como \u201cbroker\u201d. Quando precisam autenticar um usu\u00e1rio, softwares como o Teams ou o Outlook solicitam \u00e0 plataforma um token, que funciona como um passe digital provando que a pessoa est\u00e1 logada.<\/p>\n

Falha no Authenticator exp\u00f5e dados corporativos Foto: Reprodu\u00e7\u00e3o\/Authenticator<\/p>\n

A brecha ocorria porque o Authenticator expunha um componente interno chamado \u201cAccountChooserActivity\u201d, que podia ser iniciado por qualquer aplicativo presente no dispositivo. Quando um software malicioso acionava esse reccurso, o aplicaitvo criava a solicita\u00e7\u00e3o de acesso utilizando as informa\u00e7\u00f5es fornecidas pelo invasor, incluindo o nome do programa que fingia ser, como o Teams.A checagem de seguran\u00e7a falhava porque o Authenticator apenas conferia se a assinatura digital do aplicativo indicado existia no aparelho. Como o Microsoft Teams original estava instalado no celular, o registro correto era encontrado e a verifica\u00e7\u00e3o passava por engano. O programa sabia qual aplicativo fez o pedido de verdade, mas ignorava esse dado na hora de entregar o passe de acesso.Em testes pr\u00e1ticos realizados pela equipe da Enclave, ao fingir ser o Teams e solicitar conex\u00f5es com a ferramenta Microsoft Graph, o sistema retornava permiss\u00f5es amplas que inclu\u00edam ler e enviar e-mails, acessar e modificar arquivos, e manipular calend\u00e1rios corporativos.Controv\u00e9rsia sobre a intera\u00e7\u00e3o necess\u00e1ria
\nH\u00e1 uma diverg\u00eancia entre a descoberta da empresa de seguran\u00e7a e a posi\u00e7\u00e3o oficial da Microsoft quanto \u00e0 facilidade de explora\u00e7\u00e3o da falha. A Enclave relatou na pesquisa que o m\u00e9todo de prova de conceito conseguia retornar os tokens de acesso sem nenhuma intera\u00e7\u00e3o por parte da v\u00edtima, o que bastava apenas que a conta estivesse conectada no gerenciador.Por outro lado, fabricante do sistema operacional e do aplicativo sustentou, em boletim oficial de seguran\u00e7a, que a explora\u00e7\u00e3o exigia a instala\u00e7\u00e3o pr\u00e9via de um aplicativo malicioso no dispositivo e que a v\u00edtima conclu\u00edsse um fluxo de autentica\u00e7\u00e3o dentro do pr\u00f3prio Authenticator. Em nota, a companhia pontuou que \u201ca explora\u00e7\u00e3o bem-sucedida exige que um invasor conven\u00e7a o usu\u00e1rio a concluir um fluxo de autentica\u00e7\u00e3o\u201d. A Microsoft classificou a falha como de menor probabilidade de ataque e sem registros de uso malicioso anterior \u00e0 corre\u00e7\u00e3o.Como proteger o dispositivo
\nPara mitigar o risco associado \u00e0 falha CVE-2026-80097, a principal medida exigida \u00e9 a atualiza\u00e7\u00e3o do aplicativo, segundo o boletim oficial da Microsoft e o relat\u00f3rio da Enclave. Os usu\u00e1rios de celulares com o sistema operacional Android devem verificar a vers\u00e3o instalada e garantir que utilizam a compila\u00e7\u00e3o 6.2606.4246 ou posterior, dispon\u00edvel na loja oficial de aplicativos. Organiza\u00e7\u00f5es e empresas que gerenciam frotas de celulares corporativos tamb\u00e9m podem impor essa vers\u00e3o m\u00ednima por meio de pol\u00edticas de gerenciamento de dispositivos m\u00f3veis.Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais not\u00edcias e an\u00e1lises diretamente no seu e-mail.”}]]\u00a0\u00a0Ciberseguranca\u00a0Novidades do TecMundo | Estad\u00e3o\u00a0<\/p>","protected":false},"excerpt":{"rendered":"

Uma falha de seguran\u00e7a descoberta no aplicativo Microsoft Authenticator para Android colocava em risco contas corporativas ao permitir que aplicativos maliciosos sem nenhuma permiss\u00e3o no sistema roubassem tokens de autentica\u00e7\u00e3o. A vulnerabilidade, registrada sob o c\u00f3digo CVE-2026-80097 e avaliada com nota 8.6 em gravidade, foi corrigida pela Microsoft na vers\u00e3o 6.2606.4246 do aplicativo, lan\u00e7ada no […]<\/p>\n","protected":false},"author":1,"featured_media":70266,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[15],"tags":[],"class_list":["post-70265","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tecnologia"],"_links":{"self":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/posts\/70265","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=70265"}],"version-history":[{"count":0,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/posts\/70265\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/media\/70266"}],"wp:attachment":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=70265"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=70265"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=70265"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}