Microsoft ha corretto una vulnerabilità in Microsoft Authenticator per Android, tracciata come CVE-2026-80097, che avrebbe potuto permettere a un’app malevola di ottenere token di accesso all’account Microsoft dell’utente. Il ricercatore Ofek Levin di Enclave ha ora pubblicato i dettagli tecnici dell’attacco, chiamato AuthMask. La correzione è contenuta nella versione 6.2606.4246 dell’app.
Cos’è la vulnerabilità di Microsoft Authenticator
Microsoft ha pubblicato l’avviso l’8 settembre 2026, in occasione del Patch Tuesday di settembre, aggiornandolo il 15 settembre. La falla è classificata come elevazione di privilegi dovuta a un’autenticazione impropria (CWE-287), con un punteggio CVSS di 8.6 e gravità “Importante”. Secondo le FAQ di Microsoft, l’attaccante dovrebbe convincere la vittima a installare un’app malevola e a completare un flusso di autenticazione in Authenticator; in caso di successo potrebbe autenticarsi come l’utente. Microsoft indica che la vulnerabilità non risulta sfruttata né era stata resa pubblica prima della correzione, e ne giudica lo sfruttamento “meno probabile”.
Come funzionava l’attacco AuthMask
Nel suo rapporto del 23 ottobre 2026, Enclave spiega che il problema riguardava un’attività esportata dell’app, AccountChooserActivity. Un’app malevola senza alcun permesso poteva presentarsi come Microsoft Teams: il controllo della firma, infatti, veniva effettuato sull’app Teams autentica installata sul dispositivo. In questo modo Authenticator consegnava token che, secondo i ricercatori, davano accesso a posta, file e calendario della vittima.
Su un punto le due parti non concordano: Enclave sostiene che l’attacco non richiedesse interazione da parte dell’utente, mentre Microsoft, nella sua valutazione, indica che l’interazione è necessaria.
Cosa fare
- Aprire il Google Play Store e verificare che Microsoft Authenticator sia aggiornato almeno alla versione 6.2606.4246.
- Installare app solo dagli store ufficiali e controllare con attenzione sviluppatore e recensioni.
- Diffidare di richieste di accesso o di autenticazione inattese, soprattutto se compaiono subito dopo l’installazione di una nuova app.
- Nelle aziende, verificare tramite gli strumenti di gestione dei dispositivi che la versione corretta sia distribuita su tutti gli smartphone Android.
Su Authenticator avevamo già parlato della rimozione della gestione delle password, mentre su Teams abbiamo raccontato la campagna del falso supporto IT su Microsoft Teams. Un altro caso di accesso indebito ai dati di un account è quello del canale nascosto in ChatGPT che poteva esporre i dati di Gmail.
Fonti: Microsoft, Enclave, The Hacker News
