Una falla de seguridad en Microsoft Authenticator para Android permitía que una aplicación maliciosa alojada en el mismo dispositivo consiguiera tokens de una cuenta de trabajo y, con ellos, entrara a servicios de Microsoft 365 como el correo, el calendario, los archivos, SharePoint y Teams. El problema quedó identificado como CVE-2026-80097, lo detectaron investigadores de Enclave y Microsoft ya publicó la corrección correspondiente.

El alcance está acotado: no alcanza a todos los usuarios de la app ni permite atacar un teléfono de forma remota. Para que el escenario fuera viable, la aplicación maliciosa tenía que estar instalada previamente en el equipo.

Cómo funcionaba el engaño

Authenticator no se limita a generar códigos de verificación. En Android también opera como intermediario de autenticación: cuando Outlook, Teams u otra aplicación necesita iniciar sesión, le pide a Authenticator un token que certifique que la persona ya está autenticada.

Según el análisis de Enclave, la app maliciosa podía pedir ese token haciéndose pasar por un servicio de Microsoft. Authenticator no verificaba con rigor qué aplicación hacía la solicitud y podía aceptar la identidad que esta declaraba. Los investigadores lo probaron con una aplicación de prueba.

Con esos tokens, un atacante podía leer y enviar correo, consultar o modificar archivos y calendarios, entrar a sitios de SharePoint y mandar mensajes de Teams como si fueran del usuario. Los investigadores también señalaron que una app podía hacerse pasar por Authenticator para intentar cambiar los métodos de inicio de sesión, incluidas las claves de acceso. Así, un atacante que sumara su propio método podría buscar conservar el acceso incluso después de borrar la aplicación maliciosa del teléfono.

El mecanismo exigía que la persona instalara antes una aplicación maliciosa, por ejemplo desde fuera de una tienda oficial o tras ser engañada para descargarla. En la demostración de Enclave, una vez instalada, la solicitud del token podía ocurrir sin alerta visible ni aprobación adicional. Microsoft clasifica el caso como un problema de autenticación local y aclara que la explotación requiere interacción del usuario.

La corrección y qué revisar

La falla ya está corregida en Microsoft Authenticator para Android. De acuerdo con Help Net Security, están afectadas las versiones anteriores a la 6.2606.4246, por lo que conviene actualizar desde Google Play Store y confirmar que quedó instalada esa versión o una posterior.

Las organizaciones que administran los teléfonos de sus empleados pueden fijar una versión mínima con sus herramientas de gestión de dispositivos, para que los equipos no sigan usando una edición vulnerable. El aviso también sugiere evitar la instalación de aplicaciones desconocidas o descargadas de fuentes que no sean de confianza.

El fallo tiene una puntuación de gravedad de 8,6 sobre 10 en el sistema CVSS, según los datos citados por Microsoft y los investigadores. Esa calificación mide la severidad potencial y no implica que todos los teléfonos o cuentas estén comprometidos. El análisis publicado tampoco confirma una campaña de ataques activa.

Para quienes usan la app en Android, el primer paso es abrir Google Play, buscar Microsoft Authenticator y actualizarla. Después se puede verificar el número de versión en la información de la aplicación.