NoticiasNews

Microsoft Authenticator en Android: una app maliciosa podía robar tokens de trabajo suplantando a TeamsMicrosoft Authenticator on Android: a malicious app could steal work tokens by posing as Teams

2026-10-29

The Hacker News informó el 27 de octubre de 2026 sobre CVE-2026-80097, una vulnerabilidad en Microsoft Authenticator para Android con puntuación CVSS 8.6. Enclave publicó los detalles técnicos el 23 de octubre; Microsoft asignó el CVE el 8 de septiembre y lo incluyó en el Patch Tuesday de ese mes.

Cómo funcionaba

Authenticator exponía una actividad llamada AccountChooserActivity que cualquier aplicación del dispositivo podía iniciar. La app que hacía la llamada indicaba su propio nombre, así que una app maliciosa podía hacerse pasar por Microsoft Teams. La verificación de firma comparaba la solicitud con la firma real de Teams y, como Teams estaba instalado, la comprobación pasaba. En las pruebas de Enclave, los tokens de Microsoft Graph obtenidos daban acceso a correo, archivos y calendarios de la cuenta de trabajo iniciada en el dispositivo.

Versiones y discrepancias

  • La versión corregida es Authenticator para Android 6.2606.4246 o posterior.
  • Microsoft indica que no se explotó antes de la corrección y califica la explotación como «menos probable»; no figuraba en el catálogo KEV de CISA al 26 de octubre.
  • Enclave sostiene que su prueba de concepto no necesitaba interacción adicional; Microsoft afirma que se requiere una app maliciosa en el dispositivo y que el usuario complete un flujo de autenticación.
  • La fuente no aclara si actualizar revoca tokens que ya se hubieran obtenido.

Qué puede hacer el área de TI

Las organizaciones pueden exigir una versión mínima mediante sus herramientas de administración de dispositivos Android, revisar qué equipos siguen en versiones anteriores y avisar a los usuarios con instrucciones claras. Si hay sospecha, conviene cerrar sesiones y renovar credenciales de las cuentas afectadas.

Para el equipo de soporte, una campaña de actualización así genera consultas: «¿por qué me pide actualizar?», «mi teléfono es personal, ¿también aplica?». Con Servigo365, el helpdesk puede agrupar esas solicitudes, registrar cada caso con su historial y SLA, y responder con mensajes uniformes por los canales que ya usan los empleados. Y en las sucursales, donde el personal inicia sesión desde varios dispositivos para atender al público, Nexturno aporta el orden de turnos y los tiempos de espera que permiten ver si una incidencia de acceso está retrasando la atención presencial.

Fuente: The Hacker News, 27 de octubre de 2026 (con base en la investigación de Enclave).

The Hacker News reported on October 27, 2026 on CVE-2026-80097, a vulnerability in Microsoft Authenticator for Android with a CVSS score of 8.6. Enclave published the technical details on October 23; Microsoft assigned the CVE on September 8 and included it in that month's Patch Tuesday.

How it worked

Authenticator exposed an activity called AccountChooserActivity that any app on the device could start. The calling app supplied its own name, so a malicious app could pose as Microsoft Teams. The signature check compared the request against Teams' real signature and, because Teams was installed, the check passed. In Enclave's tests, the Microsoft Graph tokens obtained gave access to mail, files and calendars of the work account signed in on the device.

Versions and disagreements

  • The fixed version is Authenticator for Android 6.2606.4246 or later.
  • Microsoft says it was not exploited before the fix and rates exploitation as "less likely"; it was not in CISA's KEV catalog as of October 26.
  • Enclave says its proof of concept needed no extra interaction; Microsoft says a malicious app must be on the device and the user completes an authentication flow.
  • The source does not clarify whether updating revokes tokens that may already have been obtained.

What IT can do

Organizations can enforce a minimum version through their Android device management tools, check which devices remain on older builds and notify users with clear instructions. If compromise is suspected, it is sensible to sign out sessions and renew credentials for the affected accounts.

For the support team, an update campaign like this generates questions: "why is it asking me to update?", "my phone is personal, does it apply?". With Servigo365, the helpdesk can group those requests, log each case with its history and SLA, and reply with consistent messages through the channels employees already use. And in branches, where staff sign in from several devices to serve the public, Nexturno provides the queue order and wait times that show whether a sign-in incident is delaying in-person service.

Source: The Hacker News, October 27, 2026 (based on Enclave's research).

← Volver al blog← Back to blog