Microsoft Authenticator
Falha no Microsoft Authenticator para Android dava o email do trabalho a apps sem permissões: que versão ter
Investigadores mostraram que uma app sem qualquer permissão podia fazer-se passar pelo Teams e receber do Authenticator acesso ao correio, aos ficheiros e ao calendário da conta profissional, sem o utilizador tocar em nada. A correção já está na Play Store.
Se usas o Microsoft Authenticator num telemóvel Android para entrar na conta do trabalho, confirma que a app está atualizada. A empresa de segurança Enclave divulgou a 23 de outubro os pormenores de uma falha, a que chamou AuthMask, que deixava uma aplicação sem qualquer permissão obter acesso ao correio, aos ficheiros e ao calendário da conta profissional. A Microsoft já a corrigiu: as versões afetadas são todas as anteriores à 6.2606.4246.
O problema estava na forma como o Authenticator faz de intermediário entre a conta e as outras apps da Microsoft. Quando o Teams, por exemplo, precisa de entrar na conta, pede ao Authenticator uma espécie de chave temporária, o chamado token. Segundo os investigadores, o Authenticator verificava os dados que vinham no pedido, mas não confirmava qual era a app que o estava a fazer.
Uma app sem permissões a fingir ser o Teams
Para provar a falha, a Enclave usou um telemóvel com o Authenticator e uma conta profissional iniciada. Instalou depois uma app que não pedia nenhuma permissão e que se apresentava ao Authenticator como sendo o Teams. O truque só funcionava se a app imitada estivesse mesmo instalada, porque o Authenticator ia buscar a assinatura dela ao sistema e a app falsa limitava-se a copiar os dados certos.
As chaves vinham de volta sem o utilizador ver qualquer aviso nem aprovar nada. Ao fazer-se passar pelo Teams, a app de teste conseguiu permissões para ler e enviar emails, alterar ficheiros e o calendário e mandar mensagens de chat. Ao imitar o próprio Authenticator, recebeu ainda autorização para criar e apagar chaves de acesso (as passkeys) da conta.
Segundo a Enclave, a falha tem gravidade alta, com 8,6 pontos em 10 na escala CVSS, e a Microsoft publicou o aviso CVE-2026-80097 a 8 de setembro. A Enclave diz que a investigação foi feita com uma conta profissional e não refere contas pessoais da Microsoft.
O que deves fazer
Abre a Play Store, procura Microsoft Authenticator e, se aparecer o botão Atualizar, instala a versão nova. Também podes ver o número da versão na página da app nas definições do Android e confirmar que é a 6.2606.4246 ou mais recente.
Segundo o TechRadar, não há indícios de que a falha tenha sido aproveitada fora do laboratório. Para isso, um atacante teria primeiro de pôr uma app maliciosa no teu telemóvel, o que é mais provável com ficheiros APK descarregados fora da Play Store. Se o telemóvel é gerido pela empresa, o departamento de informática pode já ter forçado a atualização, mas convém confirmar: só as versões a partir da 6.2606.4246 trazem a correção.
