Vulnerabilità di sicurezza in Microsoft Authenticator per Android

Immaginate che il vostro telefono sia la chiave principale della vostra vita lavorativa, ma che questa chiave abbia una falla che qualcuno potrebbe sfruttare per entrare in casa vostra senza che ve ne accorgiate. Bene, è sostanzialmente quello che è successo con Microsoft Authenticator su Android , dove una grave falla di sicurezza ha permesso ad applicazioni dannose di infiltrarsi nel sistema e rubare l'accesso agli account aziendali.

Non c'è motivo di farsi prendere dal panico, ma è comunque motivo di preoccupazione. Il problema risiede nel modo in cui l'app gestisce l'identità di altri strumenti Microsoft, lasciando la porta aperta a qualsiasi applicazione dannosa che possa impersonare Teams o Outlook per rubare i token di accesso e spiare email, calendari e file privati.

Le complessità tecniche della sentenza CVE-2026-80097

Per chi fosse interessato ai dettagli tecnici, il problema era che Authenticator utilizzava un'attività chiamata AccountChooserActivity che era stata contrassegnata come esportata. Ciò significava che qualsiasi app installata sul telefono poteva avviarla. Il difetto critico era che l'app non verificava effettivamente chi effettuava la richiesta; si limitava a controllare la firma del pacchetto che dichiarava di essere il chiamante.

Poiché la maggior parte di noi ha Teams installato, all'app dannosa è bastato fingere di essere Teams . In questo modo, Authenticator ha rilevato che la firma di Teams era valida sul dispositivo e, senza porre ulteriori domande, ha rilasciato i token di accesso. L'aspetto più preoccupante è che tutto ciò poteva accadere senza che l'utente ricevesse alcun avviso o dovesse dare alcuna approvazione sullo schermo.

Quali sono i rischi reali che corrono gli utenti?

Se qualcuno riuscisse a installare un'app fraudolenta sul tuo dispositivo, otterrebbe l'accesso delegato completo. Potrebbe leggere e inviare email , modificare file di SharePoint, accedere ai calendari e persino inviare messaggi tramite Teams impersonando te. Non si tratterebbe di un attacco remoto; l'app dannosa deve essere già presente sul telefono, solitamente scaricata da fonti non attendibili.

Ma c'è un aspetto ancora più critico: la possibilità di gestire le password e i metodi di autenticazione . Un hacker esperto potrebbe aver registrato la propria chiave di accesso al tuo account. Questo è un problema serio perché, anche se elimini l'app dannosa o cambi la password, l'attaccante avrebbe comunque un punto di accesso permanente al tuo account aziendale.

Guida alla sopravvivenza e alla risoluzione dei problemi più comuni

Il primo e più urgente passo è aggiornare l'app alla versione 6.2606.4246 o superiore tramite il Google Play Store. Se lavori per un'azienda, è fondamentale che il team IT imponga questo aggiornamento tramite Intune per impedire la circolazione di dispositivi mobili vulnerabili.

Oltre ai problemi di sicurezza, molti utenti si imbattono quotidianamente in difficoltà che possono risultare frustranti. Ecco alcune soluzioni rapide:

• Problemi con la scansione dei codici QR: Se non riesci ad aggiungere un account, assicurati di avere l'ultima versione dell'app, poiché le versioni precedenti spesso presentano problemi di compatibilità.
• Notifiche in scadenza: Questo di solito accade quando l'orologio del telefono non è sincronizzato. Imposta l'orologio ora di sistema in modalità automatica e riavviare il computer.
• Account inattivi o grigi: Non preoccuparti se vedi icone grigie; di solito si tratta di account creati da altre app per l'accesso singolo e non richiedono gestione.
• Errori di root o jailbreak: A partire dal 2026, Microsoft bloccherà l'uso delle credenziali professionali sui dispositivi con root per rafforzare la sicurezza.

Come uscire da un ingorgo stradale se si perde l'accesso

Ci sono casi in cui un utente non riesce ad accedere al proprio account perché il telefono è rotto o smarrito e non può ricevere il codice. Per risolvere questo problema, la soluzione migliore è accedere al profilo dell'account aziendale, andare alla sezione di verifica della sicurezza aggiuntiva e rimuovere il collegamento al vecchio autenticatore per configurarne uno nuovo da zero.

Se compare il messaggio di errore che indica che sono stati richiesti troppi codici, non resta altra scelta che attendere 24 ore . Si tratta di un meccanismo di difesa del sistema per prevenire attacchi di forza bruta, sebbene possa risultare frustrante quando si ha fretta di completare il lavoro.

Procedure per gli amministratori di sistema e della sicurezza

Per chi gestisce l'infrastruttura, il semplice aggiornamento dell'app non è sufficiente. È consigliabile esaminare i log di Entra ID per rilevare eventuali voci sospette di password o dispositivi FIDO2 non riconosciuti dal dipendente. In caso di dubbi, la soluzione migliore è revocare tutte le sessioni e i token di aggiornamento, obbligando l'utente ad autenticarsi nuovamente.

È fondamentale bloccare l'installazione di app da fonti sconosciute sui profili aziendali. Il software antivirus è utile, ma la vera difesa consiste nel mantenere attivo Google Play Protect e assicurarsi che il broker di autenticazione sia sempre aggiornato, poiché questo rappresenta l'anello più debole della catena di identità mobile.

Mantenere aggiornata l'app Microsoft Authenticator è l'unico modo per colmare la falla di sicurezza che ha consentito il furto di token tramite l'impersonificazione delle app aziendali. L'aggiornamento alla versione corretta, unito a una verifica dei metodi di accesso registrati e alle impostazioni di ora e notifica del dispositivo, garantirà che l'accesso ai servizi di Microsoft 365 rimanga sicuro e privo di problemi tecnici.