Una vulnerabilidad de Microsoft Authenticator en Android podía exponer cuentas de trabajo

Una vulnerabilidad en Microsoft Authenticator para Android podía permitir que una aplicación maliciosa instalada en el mismo teléfono obtuviera tokens de acceso de una cuenta laboral. Con ellos, un atacante podría acceder a servicios vinculados a Microsoft 365, como el correo, los archivos, el calendario, SharePoint y Teams.

El fallo, identificado como CVE-2026-80097, fue descubierto por investigadores de Enclave y comunicado a Microsoft. La compañía publicó una corrección para la aplicación. La vulnerabilidad no afecta a todos los usuarios de Microsoft Authenticator ni permite, por sí sola, atacar un teléfono a distancia: para que el escenario descrito fuera posible, la aplicación maliciosa tenía que estar instalada en el dispositivo.

Según el análisis de Enclave, una vez en el teléfono, esa aplicación podía solicitar un token haciéndose pasar por un servicio de Microsoft. Authenticator no comprobaba correctamente qué aplicación estaba realizando la petición y podía confiar en la identidad que esta declaraba. Los investigadores demostraron el problema con una aplicación de prueba. No hay indicios en la información consultada de que el fallo se estuviera explotando en ataques reales.

Qué podía hacer un atacante

Microsoft Authenticator no solo genera códigos de verificación. En Android también puede actuar como intermediario de autenticación: cuando una aplicación como Teams u Outlook necesita iniciar sesión, solicita a Authenticator un token digital que confirma que el usuario está autenticado.

En el escenario probado por Enclave, una aplicación maliciosa podía presentarse como una aplicación legítima y conseguir tokens asociados a la cuenta laboral. De acuerdo con el equipo investigador, esos tokens podían permitir leer y enviar correo, consultar o modificar archivos y calendarios, acceder a sitios de SharePoint y enviar mensajes de Teams como si fueran del usuario.

Los investigadores también explicaron que una aplicación podía hacerse pasar por Authenticator para intentar cambiar métodos de inicio de sesión de la cuenta, incluidas las claves de acceso. Un atacante que lograra añadir su propio método de autenticación podría tratar de mantener el acceso incluso después de que la aplicación maliciosa fuera eliminada del teléfono.

El mecanismo requería que la persona instalara previamente una aplicación maliciosa, por ejemplo, fuera de una tienda de confianza o tras ser engañada para descargarla. En la demostración descrita por Enclave, una vez instalada, la solicitud del token podía producirse sin una alerta visible ni una aprobación adicional del usuario. Microsoft clasifica la vulnerabilidad como un problema de autenticación local y señala que se requiere interacción del usuario en el proceso de explotación.

Microsoft ya publicó una corrección

La vulnerabilidad fue corregida en Microsoft Authenticator para Android. El artículo de Help Net Security indica que están afectadas las versiones anteriores a la 6.2606.4246 y recomienda actualizar la aplicación desde Google Play Store y comprobar que esté instalada esa versión o una posterior.

Las organizaciones que administran teléfonos de sus empleados pueden establecer una versión mínima mediante sus herramientas de gestión de dispositivos, para evitar que los equipos sigan usando una edición vulnerable. El aviso también recomienda evitar la instalación de aplicaciones desconocidas o descargadas desde fuentes que no sean de confianza.

El fallo tiene una puntuación de gravedad de 8,6 sobre 10 en el sistema CVSS, según los datos citados por Microsoft y los investigadores. Esa calificación mide la severidad potencial de la vulnerabilidad; no significa que todos los teléfonos o cuentas estén comprometidos. El análisis publicado tampoco confirma una campaña de ataques activa.

Qué deben revisar los usuarios

Quienes usen Microsoft Authenticator en Android deberían abrir Google Play, buscar la aplicación y actualizarla. Después pueden comprobar el número de versión en la información de la app. Si el teléfono pertenece a una empresa, también conviene seguir las indicaciones del área de soporte o de seguridad, especialmente si se instalaron aplicaciones fuera de tiendas oficiales.

Actualizar la aplicación cierra la vulnerabilidad descrita, pero no permite determinar si una cuenta ya fue afectada. Si el usuario sospecha que instaló una aplicación maliciosa o detecta actividad inusual en su cuenta laboral, debería comunicárselo al equipo de tecnología de su organización para que revise los accesos y los métodos de autenticación asociados.