# Falha no Microsoft Authenticator para Android dava o email do trabalho a apps sem permissões: que versão ter

> Investigadores mostraram que uma app sem qualquer permissão podia fazer-se passar pelo Teams e receber do Authenticator acesso ao correio, aos ficheiros e ao calendário da conta profissional, sem o utilizador tocar em nada. A correção já está na Play Store.

- Publicação: MEGAzine (https://megazine.pt/)
- Endereço: https://megazine.pt/seguranca/falha-no-microsoft-authenticator-para-android-dava-o-email-do-trabalho-a-apps
- Categoria: Segurança
- Autoria: Redação
- Publicado: 31 de outubro de 2026
- Etiquetas: Microsoft Authenticator, Android, Microsoft 365, Vulnerabilidades

## Em resumo

- A falha CVE-2026-80097 afetava o Microsoft Authenticator para Android em versões anteriores à 6.2606.4246.
- Uma app sem permissões podia fingir ser o Teams ou outra app da Microsoft instalada e receber chaves de acesso à conta do trabalho.
- Com essas chaves, os investigadores da Enclave leram e enviaram emails, mexeram em ficheiros e no calendário e podiam apagar chaves de acesso.
- A Microsoft corrigiu o problema e publicou o aviso a 8 de setembro; a investigação só foi divulgada a 23 de outubro.
- Não há sinais de que a falha tenha sido usada em ataques reais, mas a app maliciosa teria de estar instalada no telemóvel.

Se usas o Microsoft Authenticator num telemóvel Android para entrar na conta do trabalho, confirma que a app está atualizada. A empresa de segurança Enclave divulgou a 23 de outubro os pormenores de uma falha, a que chamou AuthMask, que deixava uma aplicação sem qualquer permissão obter acesso ao correio, aos ficheiros e ao calendário da conta profissional. A Microsoft já a corrigiu: as versões afetadas são todas as anteriores à 6.2606.4246.

O problema estava na forma como o Authenticator faz de intermediário entre a conta e as outras apps da Microsoft. Quando o Teams, por exemplo, precisa de entrar na conta, pede ao Authenticator uma espécie de chave temporária, o chamado token. Segundo os investigadores, o Authenticator verificava os dados que vinham no pedido, mas não confirmava qual era a app que o estava a fazer.

## Uma app sem permissões a fingir ser o Teams

Para provar a falha, a Enclave usou um telemóvel com o Authenticator e uma conta profissional iniciada. Instalou depois uma app que não pedia nenhuma permissão e que se apresentava ao Authenticator como sendo o Teams. O truque só funcionava se a app imitada estivesse mesmo instalada, porque o Authenticator ia buscar a assinatura dela ao sistema e a app falsa limitava-se a copiar os dados certos.

As chaves vinham de volta sem o utilizador ver qualquer aviso nem aprovar nada. Ao fazer-se passar pelo Teams, a app de teste conseguiu permissões para ler e enviar emails, alterar ficheiros e o calendário e mandar mensagens de chat. Ao imitar o próprio Authenticator, recebeu ainda autorização para criar e apagar chaves de acesso (as passkeys) da conta.

Segundo a Enclave, a falha tem gravidade alta, com 8,6 pontos em 10 na escala CVSS, e a Microsoft publicou o aviso CVE-2026-80097 a 8 de setembro. A Enclave diz que a investigação foi feita com uma conta profissional e não refere contas pessoais da Microsoft.

## O que deves fazer

Abre a Play Store, procura Microsoft Authenticator e, se aparecer o botão Atualizar, instala a versão nova. Também podes ver o número da versão na página da app nas definições do Android e confirmar que é a 6.2606.4246 ou mais recente.

Segundo o TechRadar, não há indícios de que a falha tenha sido aproveitada fora do laboratório. Para isso, um atacante teria primeiro de pôr uma app maliciosa no teu telemóvel, o que é mais provável com ficheiros APK descarregados fora da Play Store. Se o telemóvel é gerido pela empresa, o departamento de informática pode já ter forçado a atualização, mas convém confirmar: só as versões a partir da 6.2606.4246 trazem a correção.