Microsoft Authenticator Flaw Let Permissionless Android Apps Steal Work Account Tokens

Microsoft ha corregido una vulnerabilidad identificada como CVE-2026-80097 en su aplicación Microsoft Authenticator para Android. El fallo permitía que una aplicación maliciosa, incluso sin tener permisos especiales en el dispositivo, se hiciera pasar por una aplicación de confianza (como Microsoft Teams) para obtener tokens de inicio de sesión de cuentas de trabajo.

El problema radicaba en un componente llamado AccountChooserActivity. Debido a un error de validación, una aplicación atacante podía enviar una solicitud de identidad falsa y el sistema la aceptaba porque la firma digital de la aplicación suplantada (por ejemplo, Teams) sí estaba presente en el dispositivo. Esto permitía al atacante obtener tokens que le daban acceso total a recursos de Microsoft Graph, incluyendo correos electrónicos, archivos en OneDrive, SharePoint y calendarios.

Según investigaciones de la firma Enclave, el riesgo es importante debido a la capacidad de acceso que otorgan estos tokens. Aunque Microsoft indica que la explotación requiere que el usuario interactúe con un flujo de autenticación en la aplicación y que no se han detectado ataques reales de forma activa, la gravedad del fallo se califica con un 8.6 en la escala CVSS.

La solución definitiva es actualizar la aplicación Microsoft Authenticator para Android a la versión 6.2606.4246 o cualquier versión superior. Las empresas que gestionan dispositivos móviles de sus empleados pueden forzar esta actualización mediante sus plataformas de gestión de dispositivos (MDM).

Qué significa para una pyme colombiana y cucuteña: Si usted o sus empleados usan teléfonos Android para revisar el correo de la empresa o acceder a archivos de Microsoft 365 mediante la aplicación Authenticator, debe verificar hoy mismo que la aplicación esté actualizada a la versión 6.2606.4246 o superior. Un empleado que instale una aplicación maliciosa podría comprometer toda la información de la empresa (correos y archivos) sin que el sistema de seguridad del teléfono lo detecte como una intrusión evidente.