News

Microsoft Authenticator, falla grave su Android: a rischio gli account aziendali

GuruHiTech 20 Views ,  ,  ,  ,  ,  ,  , 

Un’app Android apparentemente innocua, senza neppure chiedere permessi particolari, poteva ottenere accesso a email, file e calendari aziendali sfruttando una vulnerabilità di Microsoft Authenticator. La falla, identificata come CVE-2026-80097 e valutata con un punteggio CVSS di 8,6 su 10, è stata corretta da Microsoft, ma i dettagli tecnici pubblicati dai ricercatori di Enclave mostrano quanto un errore nella gestione dell’identità delle applicazioni possa compromettere la sicurezza di un intero account di lavoro.

Il problema riguardava Microsoft Authenticator per Android, l’app utilizzata da milioni di persone per verificare l’identità durante gli accessi. A differenza di un normale attacco che cerca di indovinare una password, questo metodo sfruttava i token di autenticazione: credenziali digitali che consentono ai servizi Microsoft di riconoscere un utente già autenticato. La correzione è disponibile dalla versione 6.2606.4246.

Come funzionava la vulnerabilità di Microsoft Authenticator

Authenticator non serve soltanto a mostrare codici temporanei o approvare notifiche di accesso. Su Android può agire anche come broker di autenticazione, un intermediario che permette ad applicazioni come Microsoft Teams di ottenere i token necessari per utilizzare un account aziendale senza chiedere continuamente all’utente di effettuare un nuovo login.

Il ricercatore Ofek Levin, nell’ambito di un programma di ricerca della società di sicurezza Enclave, ha individuato un difetto nel modo in cui Authenticator verificava l’identità dell’app che richiedeva quei token. Un componente dell’app, chiamato AccountChooserActivity, era accessibile anche ad altre applicazioni installate sullo stesso smartphone.

Il componente riceveva informazioni sull’app richiedente, ma il controllo di sicurezza si basava sui dati dichiarati dalla stessa applicazione, anziché accertare in maniera affidabile quale programma avesse realmente avviato la richiesta. Di conseguenza, un’app ostile poteva presentarsi come Microsoft Teams e superare le verifiche che avrebbero dovuto riservare l’accesso al software legittimo.

L’aspetto più sorprendente è che, nelle prove dei ricercatori, l’app dimostrativa non richiedeva alcun permesso Android. Non aveva bisogno di accedere direttamente ai messaggi, ai contatti o ai file del telefono: sfruttava il fatto che Authenticator potesse restituirle credenziali già autorizzate per i servizi Microsoft.

Email, OneDrive e Teams: quali dati potevano essere esposti

I test hanno mostrato che, impersonando Microsoft Teams, era possibile ottenere token con autorizzazioni per operazioni molto delicate tramite Microsoft Graph, l’interfaccia che collega numerosi servizi Microsoft 365. Tra i permessi dimostrati figuravano la lettura e l’invio di email, l’accesso e la modifica di file, la gestione dei calendari e l’interazione con risorse SharePoint.

I ricercatori hanno verificato anche la possibilità di inviare messaggi Teams per conto dell’utente. Un’altra simulazione, nella quale l’app malevola si presentava come Authenticator stesso, ha restituito autorizzazioni legate alla gestione dei metodi di autenticazione, comprese operazioni sulle passkey. Non significa che ogni account sarebbe stato automaticamente compromesso in tutti questi modi: i risultati descrivono le capacità ottenute nelle condizioni di laboratorio documentate.

Particolarmente importante è la differenza tra access token e refresh token. Il primo consente di accedere a una risorsa per un certo periodo; il secondo può permettere di richiedere nuovi token senza ripetere immediatamente l’accesso. Per questo motivo, quando si sospetta un furto di credenziali di sessione, aggiornare l’app non basta necessariamente a invalidare i token già sottratti: gli amministratori potrebbero dover revocare le sessioni.

Leggi anche:

Serviva installare un’app malevola: cosa sappiamo sugli attacchi

La vulnerabilità non consentiva a uno sconosciuto di entrare da remoto in qualsiasi account Microsoft senza alcuna condizione. Per sfruttarla era necessario che sul dispositivo Android fosse installata un’applicazione ostile, oltre alla presenza di Authenticator con un account di lavoro già collegato.

Enclave riferisce che, nel proprio ambiente di prova, una volta predisposte queste condizioni non era necessaria un’ulteriore interazione dell’utente per ottenere i token. La documentazione di Microsoft descrive invece anche un passaggio di autenticazione che la vittima dovrebbe completare. Le due ricostruzioni non coincidono completamente sul ruolo dell’interazione dell’utente; è quindi corretto distinguere tra quanto osservato dai ricercatori e le condizioni indicate dal produttore.

Un altro elemento essenziale è che non sono emerse prove pubbliche di sfruttamento della falla in attacchi reali. La dimostrazione tecnica illustra un rischio concreto, ma non equivale alla conferma di una campagna di furto di account già avvenuta.

Microsoft ha già rilasciato la patch: quale versione installare

Microsoft ha pubblicato la correzione nell’aggiornamento di sicurezza associato a CVE-2026-80097, divulgato l’8 settembre 2026. La ricerca tecnica di Enclave, pubblicata il 23 ottobre, ha riportato l’attenzione su un problema che era già stato risolto. Secondo l’avviso ufficiale, le versioni di Microsoft Authenticator per Android precedenti alla 6.2606.4246 sono vulnerabili.

Per proteggersi, è opportuno aprire il Google Play Store, cercare Microsoft Authenticator e installare l’ultimo aggiornamento disponibile. Chi utilizza l’app per un account aziendale dovrebbe verificare di avere almeno la versione 6.2606.4246, o una successiva. Evitare applicazioni sconosciute o distribuite tramite canali non affidabili riduce inoltre la possibilità che sul dispositivo venga installato software ostile.

Per le aziende la verifica dovrebbe essere più ampia. I responsabili IT possono controllare le versioni dell’app sui dispositivi gestiti, imporre aggiornamenti attraverso gli strumenti di amministrazione mobile e, in presenza di indicatori di compromissione, analizzare gli accessi sospetti e revocare le sessioni interessate. Le eventuali misure di risposta devono essere proporzionate agli elementi effettivamente rilevati.

Perché questa falla è diversa dal classico furto di password

La vicenda evidenzia un rischio spesso poco visibile: un sistema di autenticazione può essere aggirato anche senza conoscere la password. Se un’applicazione riesce a ottenere un token valido destinato a un altro programma, può presentarsi ai servizi come un utente già riconosciuto. È il motivo per cui il controllo dell’identità delle applicazioni è importante quanto la protezione delle credenziali personali.

In questo caso il punto debole non era il codice a sei cifre né la funzione di verifica in due passaggi in quanto tale, ma il meccanismo con cui Authenticator distribuiva le credenziali di accesso tra le applicazioni Android. La correzione riduce il rischio per chi aggiorna, mentre la ricerca ricorda che anche un’app che non chiede permessi evidenti può rappresentare una minaccia se sfrutta vulnerabilità di altri componenti installati.

Fonte

Ti potrebbe interessare:
Segui guruhitech su:

Esprimi il tuo parere!

Che ne pensi di questa notizia? Lascia un commento nell’apposita sezione che trovi più in basso e se ti va, iscriviti alla newsletter.

Per qualsiasi domanda, informazione o assistenza nel mondo della tecnologia, puoi inviare una email all’indirizzo [email protected].

Scopri di più da GuruHiTech

Abbonati per ricevere gli ultimi articoli inviati alla tua e-mail.

0 0 voti
Article Rating
Iscriviti
Notificami
guest
0 Commenti
Più recenti
Vecchi Le più votate