Fallo de seguridad en Microsoft Authenticator para Android

Imagínate que tu teléfono es la llave maestra de tu vida laboral, pero resulta que esa llave tiene una fisura que alguien podría aprovechar para entrar en tu casa sin que te des cuenta. Pues eso es básicamente lo que ha pasado con Microsoft Authenticator en Android, donde un fallo de seguridad bastante serio permitía que aplicaciones maliciosas se colaran en el sistema para robar el acceso a cuentas de empresa.

La cosa no es para entrar en pánico, pero sí para ponerse las pilas. El problema radica en cómo la app gestionaba la identidad de otras herramientas de Microsoft, dejando la puerta abierta a que cualquier app malintencionada se hiciera pasar por Teams o Outlook para llevarse tokens de acceso y husmear en correos, calendarios y archivos privados.

El entresijo técnico del fallo CVE-2026-80097

Para los que os guste el detalle técnico, el problema estaba en que Authenticator utilizaba una actividad llamada AccountChooserActivity que estaba marcada como exportada. Esto significa que cualquier aplicación instalada en el móvil podía lanzarla. El fallo crítico era que la aplicación no comprobaba realmente quién hacía la petición; simplemente miraba la firma del paquete que decía ser el llamante.

Como la mayoría de nosotros tenemos Teams instalado, la app maliciosa solo tenía que fingir que era Teams. Al hacer esto, Authenticator veía que la firma de Teams era válida en el dispositivo y, sin hacer más preguntas, soltaba los tokens de acceso. Lo más preocupante es que esto podía ocurrir sin que el usuario viera ninguna alerta o tuviera que aprobar nada en la pantalla.

¿Qué riesgos reales corremos los usuarios?

Si alguien lograba instalar una app trampa en tu dispositivo, el acceso delegado que obtenía era total. Podía leer y enviar correos electrónicos, modificar archivos en SharePoint, entrar en calendarios y hasta mandar mensajes por Teams suplantando tu identidad. No se trataba de un ataque remoto, sino que requería que la app maliciosa estuviera ya en el teléfono, normalmente bajada de sitios poco fiables.

Pero hay algo todavía más delicado: la capacidad de gestionar passkeys y métodos de autenticación. Un atacante astuto podría haber registrado su propia llave de acceso en tu cuenta. Esto es un problema gordo porque, aunque borraras la app maliciosa o cambiaras la contraseña, el atacante seguiría teniendo una vía de entrada permanente a tu cuenta laboral.

Guía de supervivencia y solución de errores comunes

Lo primero y más urgente es actualizar la aplicación a la versión 6.2606.4246 o superior a través de la Google Play Store. Si trabajas en una empresa, es vital que el equipo de IT fuerce esta actualización mediante Intune para evitar que haya móviles vulnerables dando vueltas por ahí.

Aparte del tema de seguridad, muchos usuarios se encuentran con problemas cotidianos que pueden ser desesperantes. Aquí tienes algunas soluciones rápidas:

• Problemas con el escaneo QR: Si no puedes añadir una cuenta, asegúrate de tener la última versión de la app, ya que las antiguas suelen dar fallos de compatibilidad.
• Notificaciones que expiran: Esto suele pasar cuando el reloj del móvil no está sincronizado. Pon la hora del sistema en modo automático y reinicia el equipo.
• Cuentas inactivas o grises: No te rayes si ves iconos grises; suelen ser cuentas creadas por otras apps para el inicio de sesión único y no requieren gestión.
• Errores de Root o Jailbreak: A partir de 2026, Microsoft bloqueará el uso de credenciales profesionales en dispositivos rooteados para reforzar la seguridad.

Cómo salir del atasco si pierdes el acceso

Hay casos donde el usuario se queda fuera de su cuenta porque el teléfono se rompió o se perdió y no puede recibir el código. Para solucionar este marrón, lo ideal es entrar en el perfil de la cuenta organizacional, ir a la sección de verificación de seguridad adicional y eliminar la vinculación con el Authenticator antiguo para configurar uno nuevo desde cero.

Si te encuentras con el error de que has solicitado demasiados códigos, no hay más remedio que esperar 24 horas. Es un mecanismo de defensa del sistema para evitar ataques de fuerza bruta, aunque resulte frustrante cuando tienes prisa por trabajar.

Pasos para administradores de sistemas y seguridad

Para los que llevan el mando de la infraestructura, no basta con actualizar la app. Es recomendable revisar los logs de Entra ID para detectar registros sospechosos de passkeys o dispositivos FIDO2 que el empleado no reconozca. Si hay dudas, lo más sano es revocar todas las sesiones y los refresh tokens, obligando al usuario a autenticarse de nuevo.

Es fundamental prohibir la instalación de aplicaciones desde fuentes desconocidas en los perfiles de trabajo. Un antivirus ayuda, pero la verdadera defensa es mantener activo Google Play Protect y asegurar que el broker de autenticación esté siempre al día, ya que es el punto más débil de la cadena de identidad en móviles.

Mantener la aplicación de Microsoft Authenticator actualizada es la única forma de cerrar la brecha de seguridad que permitía el robo de tokens mediante la suplantación de identidad de apps corporativas. Combinando la actualización a la versión corregida con una revisión de los métodos de acceso registrados y una configuración correcta de la hora y las notificaciones del dispositivo, se puede garantizar que el acceso a los servicios de Microsoft 365 siga siendo seguro y sin contratiempos técnicos.