Uma falha de segurança crítica foi identificada no aplicativo Microsoft Authenticator para Android, e a correção já está disponível na Google Play Store desde 8 de setembro de 2026. A vulnerabilidade permitia que um atacante obtivesse tokens de autenticação e, consequentemente, acessasse contas de e‑mail, agenda e arquivos confidenciais. A descoberta foi divulgada pela empresa de segurança Enclave, que notificou a Microsoft imediatamente.
Como a vulnerabilidade funciona
De acordo com a análise da Enclave, o exploit não exige privilégios de root nem permissões especiais no dispositivo. O atacante cria um aplicativo malicioso que se apresenta como um produto oficial da Microsoft, enganando o Microsoft Authenticator a repassar tokens de autenticação. Esses tokens são gerados pelo próprio Authenticator quando o usuário adiciona uma conta ou utiliza a verificação em duas etapas.
O fluxo de ataque pode ser resumido em três etapas simples: o aplicativo fraudulento se instala, solicita ao Authenticator que forneça um token, e o Authenticator, ao reconhecer o aplicativo como legítimo, entrega o token ao invasor. Com o token em mãos, o criminoso pode se autenticar em diversos serviços que utilizam a mesma conta Microsoft.
Essa técnica se baseia em uma falha de validação de assinatura digital, que deveria garantir que apenas aplicativos assinados pela Microsoft fossem aceitos. A falha permite que um binário assinado por terceiros seja confundido com o original, abrindo brecha para o roubo de credenciais.
Impactos observados nos testes da Enclave
Nos testes conduzidos pela Enclave, os pesquisadores conseguiram acessar contas de e‑mail, visualizar agendas corporativas e baixar documentos armazenados no OneDrive. Em alguns casos, também foi possível gerar códigos de verificação temporária para serviços externos que dependem da autenticação Microsoft.
Os resultados mostraram que a vulnerabilidade afeta tanto usuários individuais quanto organizações que dependem do Microsoft Authenticator como camada adicional de segurança. A pontuação CVSS 3.1 atribuída foi 8,6, indicando risco alto e necessidade de mitigação imediata.
Além do acesso direto a contas, a falha pode ser explorada para lançar ataques de phishing mais sofisticados, já que o invasor pode usar tokens válidos para contornar mecanismos de verificação de identidade.
Passo a passo para atualizar o Microsoft Authenticator
Felizmente, a Microsoft lançou rapidamente a versão 6.2606.4246 ou posterior, que corrige a falha. Para garantir que seu dispositivo esteja protegido, siga as instruções abaixo:
- Abra a Google Play Store no seu smartphone ou tablet Android.
- Procure por “Microsoft Authenticator” na barra de busca.
- Verifique a versão exibida. A versão correta deve ser 6.2606.4246 ou superior.
- Clique em “Atualizar” caso a versão esteja desatualizada.
- Reinicie o aplicativo após a conclusão da atualização para que as correções entrem em vigor.
Se preferir, você pode habilitar a atualização automática nas configurações da Play Store, garantindo que futuras correções sejam instaladas sem intervenção manual.
Após atualizar, recomenda‑se revogar tokens antigos que possam ter sido comprometidos. Isso pode ser feito removendo as contas adicionadas ao Authenticator e adicionando‑as novamente, forçando a geração de novos códigos de verificação.
Manter o aplicativo sempre na versão mais recente é a melhor prática para evitar vulnerabilidades semelhantes no futuro, já que as equipes de segurança da Microsoft monitoram constantemente possíveis ameaças.
Em resumo, a falha descoberta no Microsoft Authenticator representou um risco significativo para a segurança digital de milhões de usuários. A resposta rápida da Microsoft, com a publicação de um patch imediato, demonstra a importância de um canal de comunicação aberto entre pesquisadores independentes e grandes provedores de software. Usuários que ainda não atualizaram devem fazê‑lo o quanto antes para proteger suas credenciais e dados sensíveis.
