- Una falla crítica en Microsoft Authenticator permitía que aplicaciones maliciosas de Android robaran tokens de sesión de Microsoft sin la intervención del usuario
- Los atacantes podían hacerse pasar por aplicaciones confiables de Microsoft y acceder a correos electrónicos, datos de Teams, calendarios y archivos
- Microsoft corrigió la falla e insta a los usuarios de Android a actualizar Authenticator de inmediato
Una vulnerabilidad crítica en la app Microsoft Authenticator para Android permitía que apps maliciosas obtuvieran tokens de sesión para prácticamente cualquier app de Microsoft y los entregaran a los atacantes.
A diferencia de otros programas maliciosos para Android, este no requería permisos amplios, las víctimas no tenían que aprobar el proceso de inicio de sesión y los atacantes no necesitaban conocer las credenciales de inicio de sesión de sus víctimas.
Descubierta por investigadores de Enclave, la vulnerabilidad, ahora identificada como CVE_2026-80097, ya ha sido corregida y Microsoft insta a todos los usuarios a actualizar su aplicación Authenticator lo antes posible.
¿Qué es Authenticator y cómo se hizo un uso indebido de él?
Authenticator es la aplicación de autenticación de dos factores (2FA) de Microsoft. Además de a los usuarios, también permite que otras aplicaciones se autentiquen, proporcionándoles tokens de sesión que les otorgan acceso a la cuenta laboral de Microsoft del usuario y a los datos asociados. En la práctica, esto significa que una aplicación legítima, como Microsoft Teams, puede iniciar sesión en la cuenta laboral de un usuario a través de Authenticator.
Los investigadores de seguridad de Enclave se propusieron evaluar qué tan seguro era este proceso. En un experimento, que detallaron en este enlace, utilizaron un dispositivo Android que tenía iniciada sesión en un servicio de Microsoft y tenía instalada la aplicación Authenticator. Nada más y nada menos.
Luego, instalaron una tercera aplicación que no era maliciosa según los estándares habituales de Android: no solicitaba permisos excesivos, no se comunicaba con ningún servidor de terceros sospechoso y no intentaba extraer ningún dato.
Lo que sí hizo, sin embargo, fue hacerse pasar por una aplicación legítima de Microsoft Teams. Como tal, le pidió a Authenticator que, bueno, la autenticara y le otorgara acceso a los datos.
Para ello, proporcionó los datos necesarios: el nombre de paquete correcto, el ID de cliente y el URI de redirección. Authenticator confirmó que los datos eran reales y le otorgó el token a la aplicación. Y listo: los investigadores obtuvieron acceso a correos electrónicos, mensajes de chat de Teams y calendarios, y también se les permitió modificar y enviar mensajes, alterar archivos y entradas de calendario, enviar mensajes de chat e incluso administrar ciertos métodos de autenticación (crear o eliminar claves de acceso).
Un experimento controlado
¿Cómo es posible, te preguntarás? Al parecer, Authenticator solo comprobaba si los datos proporcionados por la aplicación eran reales, pero no verificaba la naturaleza de la aplicación que los proporcionaba. En otras palabras, cualquier aplicación podía decir: «Hola, soy Teams, dame un token de sesión», y lo recibía.
Lo peor es que todo esto ocurría en segundo plano. Los investigadores no tenían que confirmar el intento de inicio de sesión de la aplicación ni recibían una notificación al respecto.
«Descubrimos que una aplicación de Android sin privilegios y con cero permisos podía suplantar la identidad de cualquier aplicación propia de Microsoft instalada y conseguir que el intermediario de Microsoft Authenticator le entregara los tokens de esa aplicación», señalaron. Esto es un problema grave, ya que solicitar permisos excesivos es la principal forma de identificar aplicaciones maliciosas de Android.
Por suerte para todos los involucrados, Enclave no detectó este ataque en entornos reales, sino que lo reprodujo en un entorno controlado. No hay pruebas de que alguien haya intentado algo similar en el mundo real, pero ahora que la noticia se ha hecho pública, es probable que alguien lo intente. Por ello, es fundamental que todos los usuarios de Authenticator actualicen sus aplicaciones lo antes posible.
El aspecto positivo de este informe es que la aplicación maliciosa todavía necesita llegar de alguna manera al dispositivo Android objetivo. Es poco probable que estas aplicaciones lleguen a Google Play Store y, mientras los usuarios eviten descargar archivos .APK sospechosos de tiendas de aplicaciones no verificadas, deberían estar a salvo.
Enclave informó de la vulnerabilidad al Centro de Respuesta de Seguridad de Microsoft (MSRC), que confirmó el problema y publicó una solución. La compañía indicó que las versiones de Microsoft Authenticator para Android anteriores a la 6.2606.4246 están afectadas e insistió en que los usuarios deben actualizar a la versión 6.2606.4246 o posterior a través de Google Play Store.
➡️ Lee nuestra guía completa sobre los mejores antivirus
1. El mejor en general:
Bitdefender Total Security
2. El mejor para familias:
Norton 360 with LifeLock
3. El mejor para dispositivos móviles:
McAfee Mobile Security
Sigue a TechRadar en Google Noticias y añádenos como fuente preferida para recibir nuestras noticias, reseñas y opiniones de expertos en tus feeds.
