Valiente ironía… Una vulnerabilidad de seguridad en Microsoft Authenticator para Android permitía a una aplicación maliciosa obtener tokens de acceso de cuentas corporativas sin necesidad de conocer sus contraseñas. Es decir, una app pensada para proteger nuestras contraseñas vulnerada. El fallo, identificado como CVE-2026-80097, ya ha sido corregido por Microsoft, aunque su funcionamiento plantea preguntas importantes sobre la seguridad de las sesiones autenticadas.
El investigador Ofek Levin, de Enclave, ha publicado los detalles técnicos de un ataque denominado AuthMask, capaz de aprovechar un error en la comprobación de identidad de las aplicaciones que utilizan Microsoft Authenticator. No sabemos si la vulnerabilidad era más por culpa de Android o si fue culpa de Microsoft, vamos a averiguarlo.
AuthMask: cómo una aplicación sin permisos podía engañar a Microsoft Authenticator
Microsoft Authenticator no sirve únicamente para aprobar inicios de sesión mediante la autenticación multifactor. En Android también puede actuar como intermediario de autenticación para aplicaciones de Microsoft, facilitando el acceso a servicios corporativos sin exigir continuamente las credenciales al usuario. Precisamente esta función era el objetivo de AuthMask.
Los investigadores descubrieron que una actividad de Android llamada AccountChooserActivity podía ser invocada por otras aplicaciones instaladas en el dispositivo. El problema no era simplemente que estuviera accesible, sino que Authenticator confiaba en determinados datos de identidad proporcionados por la propia aplicación que solicitaba el acceso.
En lugar de verificar correctamente qué aplicación estaba realizando la petición, comprobaba información relacionada con la identidad que esta afirmaba tener. El equipo de Enclave consiguió aprovechar esta situación para que una aplicación de prueba, sin permisos especiales de Android, se hiciera pasar por Microsoft Teams. Como resultado, Authenticator devolvió tokens que correspondían a la aplicación legítima suplantada.
Correos electrónicos, OneDrive y calendarios entre los recursos expuestos
Los tokens son credenciales digitales que permiten a una aplicación acceder a determinados servicios después de que el usuario se haya autenticado. No contienen necesariamente la contraseña, pero pueden autorizar operaciones en nombre del usuario mientras mantengan su validez. Durante sus pruebas, los investigadores consiguieron obtener permisos delegados relacionados con distintos servicios de Microsoft 365, entre ellos:
- Outlook: lectura, modificación y envío de correos electrónicos.
- OneDrive y archivos corporativos: acceso y modificación de documentos.
- Calendarios: consulta y modificación de eventos.
- Microsoft Teams: acceso a determinadas funciones de comunicación.
- Métodos de autenticación: operaciones relacionadas con credenciales y passkeys al suplantar otros componentes.
El alcance concreto dependía de los permisos disponibles para la aplicación suplantada y la cuenta afectada. Lo más preocupante es que el ataque podía producirse después de una autenticación legítima. Por tanto, tener activada la verificación en dos pasos no impedía por sí solo este método de robo de sesiones.
Eso no significa que cualquier atacante pudiera entrar remotamente en una cuenta Microsoft. El escenario investigado requería una aplicación maliciosa instalada en el mismo dispositivo Android y una cuenta profesional previamente autenticada.
Microsoft ya corrigió la vulnerabilidad CVE-2026-80097
La investigación fue comunicada de forma responsable al Microsoft Security Response Center (MSRC), que confirmó el problema y publicó el identificador CVE-2026-80097 el 8 de septiembre de 2026. La vulnerabilidad recibió una puntuación de gravedad de 8,6 sobre 10 según CVSS 3.1.
El informe técnico completo de Enclave se publicó posteriormente, el 23 de octubre, cuando el problema ya contaba con una solución. Según los investigadores, las versiones de Microsoft Authenticator para Android anteriores a la 6.2606.4246 estaban afectadas. Esta versión y las posteriores incorporan la corrección.
Por el momento, la investigación publicada demuestra que el ataque era técnicamente viable, pero no aporta evidencias de una campaña generalizada que lo hubiera explotado contra usuarios reales. Tampoco describe la misma vulnerabilidad en la versión de Microsoft Authenticator para iOS. Luego, parece que era algo vinculado a Android y no al propio Authenticator.
Qué deben hacer los usuarios de Microsoft Authenticator
La principal recomendación es comprobar que Microsoft Authenticator está actualizado desde Google Play. Para hacerlo:
- Abre Google Play Store en tu dispositivo Android.
- Busca Microsoft Authenticator.
- Comprueba si aparece el botón Actualizar.
- Instala la actualización disponible, si la hay.
- Verifica que utilizas una versión igual o posterior a la 6.2606.4246.
En entornos empresariales también resulta recomendable que los administradores comprueben las versiones instaladas en los dispositivos gestionados y revisen sus políticas de aplicaciones. Este descubrimiento recuerda una limitación importante de la autenticación multifactor: proteger el inicio de sesión no equivale a garantizar la seguridad de todos los tokens emitidos posteriormente.
Microsoft ya ha solucionado el problema concreto, por lo que no hay motivos para abandonar Authenticator. Sin embargo, AuthMask demuestra que la protección de las cuentas corporativas también depende de verificar correctamente la identidad de las aplicaciones que solicitan acceder a ellas.
