Una vulnerabilità di Microsoft Authenticator per Android ha permesso, fino all’estate scorsa, a un’app installata sullo stesso telefono di farsi consegnare i token di accesso dell’account di lavoro dell’utente, senza chiedere alcun permesso e senza alcuna interazione. La falla, catalogata come CVE-2026-80097 e ribattezzata “AuthMask” dai ricercatori della società di sicurezza Enclave che l’hanno scoperta, è stata corretta da Microsoft a luglio, ma i dettagli tecnici sono stati resi pubblici solo il 23 ottobre e in queste ore stanno facendo il giro della comunità della sicurezza informatica.
Cosa permetteva la falla di Microsoft Authenticator
Su Android, Authenticator non è soltanto l’app che genera i codici per l’autenticazione a due fattori: funziona anche da broker di autenticazione, cioè il componente che gestisce il login unico (single sign-on) per le altre app Microsoft installate sul dispositivo, come Outlook o Teams. Proprio qui si annidava il problema.
Secondo l’analisi pubblicata dal ricercatore Ofek Levin, un componente dell’app (l’activity AccountChooserActivity) era esportato, quindi raggiungibile da qualsiasi altra applicazione. Un’app malevola, anche priva di permessi speciali, poteva sfruttarlo per spacciarsi per un’app Microsoft legittima, ad esempio Teams, e ottenere in cambio i token di accesso, di aggiornamento e di identità dell’account aziendale collegato.
Posta, file e calendario a rischio
Con quei token un attaccante poteva interrogare le API di Microsoft Graph con gli stessi privilegi dell’app impersonata. Tradotto: leggere e inviare email dalla casella dell’utente, accedere ai file su OneDrive e SharePoint, consultare e modificare il calendario. Enclave segnala inoltre che, impersonando lo stesso Authenticator, era possibile ottenere permessi legati alla gestione delle passkey.
Il punto più delicato è che non serviva alcuna azione da parte della vittima oltre all’installazione dell’app malevola: bastava avere un account di lavoro o della scuola configurato in Authenticator. La vulnerabilità ha ricevuto un punteggio CVSS di 8,6 su 10, quindi di gravità alta.
Versioni coinvolte e come proteggersi
Il problema riguarda le versioni di Microsoft Authenticator per Android dalla 6.0.0 fino a quelle precedenti alla 6.2606.4246, la build con cui Microsoft ha distribuito la correzione a luglio 2026. Il CVE è stato pubblicato l’8 settembre e, al momento, non risultano segnalazioni di sfruttamento attivo della falla.
- Aprire il Google Play Store e verificare che Microsoft Authenticator sia aggiornato all’ultima versione disponibile;
- controllare la versione installata da Impostazioni > App > Authenticator;
- installare app solo da fonti affidabili e diffidare di applicazioni sconosciute che si presentano come strumenti aziendali.
- Per le aziende: verificare tramite MDM che i dispositivi gestiti non montino versioni vulnerabili.
Il caso si aggiunge a una lunga serie di minacce che prendono di mira gli smartphone Android, dai malware preinstallati della campagna Midnight Mimosa alla crescita degli attacchi NFC relay, e conferma quanto le app di autenticazione siano diventate un bersaglio strategico. Un tema su cui Microsoft sta investendo anche sul fronte della sicurezza degli agenti AI.
Fonti
Enclave – AuthMask · CVE.org – CVE-2026-80097 · Cyber Security News
Aiutaci a crescere: lasciaci un like :)