Microsoft Authenticator tinha falha grave no Android: veja como atualizar o app e proteger suas contas

🔥 Ofertas de tecnologia todo dia no WhatsApp +4.640 pessoas Entrar no grupo

A falha no Microsoft Authenticator para Android, registrada como CVE-2026-80097, permitia que um aplicativo malicioso instalado no celular se passasse por um app oficial da Microsoft e recebesse os tokens de acesso da sua conta. A correção já existe: basta atualizar o Authenticator para a versão 6.2606.4246 ou mais nova pela Google Play Store. Abaixo eu explico o que aconteceu, quem precisa se preocupar e como conferir se o seu celular já está protegido.

• A falha atinge o Microsoft Authenticator para Android; a Microsoft não lista a versão de iPhone como afetada.
• A nota de gravidade é 8,6 de 10 (CVSS 3.1), e a classificação da Microsoft é “Importante”.
• A correção saiu em setembro de 2026, na versão 6.2606.4246, e os detalhes técnicos foram publicados agora em outubro.
• O que fazer: atualizar o app pela Play Store e não instalar aplicativos de fora da loja.

O que é a falha no Microsoft Authenticator

O Microsoft Authenticator é o aplicativo de verificação em duas etapas da Microsoft. Ele gera os códigos temporários de seis dígitos, aprova logins com um toque e guarda chaves de acesso (passkeys) de contas pessoais e de trabalho. Por isso ele é tão sensível: quem controla o Authenticator controla a porta de entrada das suas contas.

A falha no Microsoft Authenticator foi descoberta pela Enclave, uma empresa de segurança digital, que batizou o problema de AuthMask. Segundo os pesquisadores, uma parte do app (uma tela interna chamada AccountChooserActivity) confiava na identidade informada pelo próprio aplicativo que fazia o pedido. Na prática, um app sem nenhuma permissão especial conseguia dizer “eu sou o Teams” ou “eu sou o Outlook” e receber de volta os tokens daquele serviço.

Token, para quem não conhece o termo, é uma espécie de crachá digital. Depois que você faz login, o serviço entrega esse crachá ao app para que ele não precise pedir sua senha toda hora. Quem pega o token consegue entrar na conta como se fosse você, sem saber a senha e sem passar pela verificação em duas etapas.

O que os pesquisadores conseguiram acessar

Nos testes da Enclave, os tokens obtidos com a falha no Microsoft Authenticator deram acesso completo ao e-mail, aos arquivos e à agenda de uma conta de trabalho. Os pesquisadores também relatam que, ao se passar pelo próprio Authenticator, conseguiram permissões ligadas aos métodos de autenticação e às chaves de acesso da conta. Os tokens, segundo eles, voltavam sem criptografia.

▶ Veja mais tutoriais como este em nosso canal no YouTube +600 mil inscritos Inscrever-se

É por isso que a nota da falha no Microsoft Authenticator chegou a 8,6. Mesmo sendo um ataque “local”, ou seja, que depende de um app malicioso já instalado no aparelho, o estrago possível é grande.

O que a Microsoft diz sobre a CVE-2026-80097

No Guia de Atualizações de Segurança da Microsoft, a falha no Microsoft Authenticator aparece com o código CVE-2026-80097, descrita como uma vulnerabilidade de elevação de privilégio causada por autenticação imprópria no Microsoft Authenticator. A página foi publicada em 8 de setembro de 2026 e atualizada em 15 de setembro apenas para corrigir o número da versão que traz a correção.

Segundo a Microsoft, o ataque funciona assim: o criminoso precisa instalar e executar um aplicativo malicioso no Android da vítima e convencê-la a concluir um login no Authenticator. Se der certo, ele obtém os tokens e acessa os recursos da conta como se fosse o dono. A empresa informa que a falha no Microsoft Authenticator não tinha sido explorada nem divulgada publicamente quando a correção saiu, e classifica a exploração como “menos provável”.

Você pode ler a ficha completa no Guia de Atualizações de Segurança da Microsoft e o relatório técnico no blog da Enclave (os dois em inglês).

Quem é afetado pela falha no Microsoft Authenticator

A Microsoft lista como afetado apenas o Microsoft Authenticator no Android, nas versões anteriores à 6.2606.4246. Quem usa o app no iPhone não aparece na lista de produtos afetados. Mesmo assim, eu recomendo manter o app atualizado também no iOS, porque é ele que protege as suas contas.

O risco é maior para quem usa o Authenticator com conta de trabalho ou de escola (Microsoft 365, Teams, Outlook corporativo), já que foi nesse cenário que a Enclave fez os testes. Mas qualquer pessoa que tenha o app no Android deve atualizar, porque a falha no Microsoft Authenticator estava no mecanismo que entrega os acessos aos outros apps da Microsoft.

Outro ponto importante: o ataque depende de um aplicativo malicioso no celular. Quem só instala apps da Play Store, confere o desenvolvedor e não aceita APK enviado por WhatsApp ou site desconhecido já reduz muito a chance de cair nesse tipo de golpe. Se você suspeita que já tem algo estranho no aparelho, veja meu passo a passo de como remover vírus do celular Android e iPhone sem perder seus dados.

Como atualizar o Microsoft Authenticator no Android

A correção da falha no Microsoft Authenticator chega pela Google Play Store, sem custo. Faça assim:

1. Abra a Google Play Store no celular.
2. Toque na sua foto de perfil, no canto superior direito.
3. Entre em Gerenciar apps e dispositivo e depois em Atualizações disponíveis (os nomes podem variar um pouco conforme a versão da loja).
4. Se o Microsoft Authenticator aparecer na lista, toque em Atualizar. Se preferir, pesquise “Microsoft Authenticator” na loja e use o botão Atualizar na página do app.

Como conferir a versão instalada

Para ter certeza de que a falha no Microsoft Authenticator já foi corrigida no seu aparelho, confira o número da versão:

1. Abra as Configurações do Android.
2. Toque em Apps (ou Aplicativos) e procure o Authenticator na lista.
3. Role a tela até o fim: a versão aparece ali. Ela precisa ser 6.2606.4246 ou maior.

Se a versão for mais antiga e a Play Store não oferecer a atualização, reinicie o celular e tente de novo. Também vale ligar a atualização automática: na página do app na Play Store, toque nos três pontinhos e marque a opção de atualizar automaticamente.

E no iPhone, preciso atualizar o Microsoft Authenticator?

A Microsoft não aponta a versão de iPhone como afetada pela falha no Microsoft Authenticator. Ainda assim, manter o app em dia é a melhor defesa contra problemas futuros. No iPhone, abra a App Store, toque na sua foto no canto superior direito e veja se o Microsoft Authenticator aparece na lista de atualizações pendentes.

Como se proteger depois da falha no Microsoft Authenticator

Atualizar resolve a falha no Microsoft Authenticator, mas alguns cuidados ajudam a fechar outras portas:

• Instale apps só da loja oficial. O ataque que explora a falha no Microsoft Authenticator depende de um app malicioso no celular. Evite APKs de sites e links recebidos por mensagem.
• Revise as permissões do celular. Eu mostro as configurações mais importantes no guia para proteger a privacidade no Android.
• Desconfie de pedidos de login que você não fez. Se o Authenticator pedir aprovação sem você estar entrando em lugar nenhum, negue.
• Use senhas fortes e diferentes. O gerador de senha online do site cria senhas seguras em um clique, e um bom aplicativo para gerenciar senhas guarda tudo para você.
• Conta de trabalho? Avise o setor de TI da empresa. Eles podem verificar se há logins estranhos e encerrar sessões abertas.

Se você suspeita que alguém usou a falha no Microsoft Authenticator para acessar sua conta da Microsoft antes da correção, troque a senha, encerre as sessões ativas nas configurações de segurança da conta e revise os métodos de verificação cadastrados.

Conclusão

A falha no Microsoft Authenticator era séria porque mexia justamente no app que protege suas contas, mas a solução é simples e grátis. Minha recomendação: abra a Play Store agora, atualize o Microsoft Authenticator para a versão 6.2606.4246 ou mais nova e ligue a atualização automática. Com isso e com o cuidado de instalar apps só da loja oficial, você fica protegido.

Perguntas frequentes

Fontes: Microsoft Security Response Center · Enclave · Tecnoblog