Une faille de Microsoft Authenticator sur Android permettait à une app sans permission de voler des jetons de comptes pro.

Microsoft a corrigé une vulnérabilité sérieuse dans Microsoft Authenticator pour Android. Une application malveillante, sans aucune permission, pouvait se faire passer pour une application Microsoft de confiance. Par exemple, elle imitait Teams. Ainsi, elle pouvait récupérer les jetons de connexion du compte professionnel de la victime.

La faille porte l’identifiant CVE-2026-80097. Elle est corrigée dans la version 6.2606.4246 de l’application. Par conséquent, tous les utilisateurs concernés doivent effectuer la mise à jour sans attendre.

Une faille dans Microsoft Authenticator pour Android

Le problème est particulièrement notable pour une raison simple. En effet, l’application malveillante n’avait besoin d’aucune permission particulière. Autrement dit, elle ne déclenchait pas les demandes d’autorisation. Or, ces demandes alertent habituellement les utilisateurs attentifs.

Le scénario repose sur l’usurpation d’identité. L’application piégée se présentait comme un composant de confiance de l’écosystème Microsoft, par exemple Teams. Elle pouvait ainsi obtenir des jetons de connexion liés au compte professionnel de la victime.

Ces éléments proviennent des tests menés par les chercheurs à l’origine de la découverte. En revanche, le détail précis de la chaîne d’exploitation n’est pas repris ici. Il convient donc de rester prudent sur les mécanismes exacts.

Pourquoi le vol de jetons est si sensible

Un jeton d’authentification est une preuve numérique de connexion. Une fois émis, il permet généralement d’accéder à un service sans ressaisir le mot de passe. C’est pratique pour l’utilisateur. Cependant, c’est aussi une cible de choix pour les attaquants.

En effet, un jeton volé peut contourner une partie des défenses classiques. Le mot de passe n’est plus nécessaire dans ce cas. De plus, selon la configuration de l’entreprise, la validation multifacteur peut déjà avoir été franchie. Elle a alors eu lieu au moment de l’émission du jeton.

Le risque dépasse donc le simple compte personnel. Un compte professionnel donne souvent accès à la messagerie, aux documents partagés et aux outils de collaboration. Ainsi, un seul appareil mobile compromis peut devenir une porte d’entrée vers le système d’information de l’entreprise.

Par ailleurs, l’absence de permission rend la menace plus difficile à repérer. Une application qui ne demande rien paraît inoffensive. Pourtant, elle peut s’avérer dangereuse si elle exploite une faiblesse dans une application de confiance.

Ce que l’on sait, et ce que l’on ignore

Plusieurs points sont établis :

• la vulnérabilité est référencée sous l’identifiant CVE-2026-80097 ;
• elle touche l’application Authenticator sur Android ;
• ainsi, une application sans permission pouvait usurper une application Microsoft de confiance ;
• enfin, le correctif figure dans la version 6.2606.4246.

D’autres éléments restent inconnus à ce stade. D’abord, les informations disponibles ne précisent pas si la faille a été exploitée dans la nature. Elles ne donnent pas non plus de score de gravité. Elles n’offrent pas davantage de liste exhaustive des versions vulnérables. Il serait donc hasardeux d’avancer des chiffres ou des conclusions sur l’ampleur réelle du risque.

Néanmoins, la publication d’un correctif change la situation. Une fois la faille documentée, des acteurs malveillants peuvent chercher à la reproduire. C’est pourquoi la rapidité de la mise à jour est essentielle.

Recommandations pour les utilisateurs et les entreprises

La première action est évidente. Il faut installer la version 6.2606.4246 de Microsoft Authenticator, ou une version plus récente. Pour cela, ouvrez la boutique d’applications de votre téléphone. Ensuite, vérifiez les mises à jour en attente. Activez également les mises à jour automatiques afin de ne plus prendre de retard.

Les équipes informatiques ont aussi un rôle à jouer. Voici quelques pistes concrètes :

1. Recensez les appareils Android qui utilisent l’application Authenticator.
2. Vérifiez ensuite la version installée, notamment via votre solution de gestion des terminaux mobiles.
3. Exigez la mise à jour comme condition d’accès aux ressources de l’entreprise.
4. Examinez également les journaux de connexion à la recherche d’activités inhabituelles.
5. Enfin, révoquez les sessions et les jetons en cas de doute sur un appareil.

Enfin, un rappel d’hygiène s’impose. N’installez que des applications issues de sources fiables. De plus, supprimez celles que vous n’utilisez plus. Une application sans permission n’est pas forcément sans danger, comme le montre ce cas.

Ce qu’il faut retenir

• La faille CVE-2026-80097 affectait Microsoft Authenticator sur Android.
• Ainsi, une application malveillante sans permission pouvait imiter une application Microsoft, comme Teams, pour collecter des jetons de comptes professionnels.
• De son côté, Microsoft a publié le correctif dans la version 6.2606.4246.
• Par conséquent, la mise à jour immédiate est la mesure prioritaire, suivie d’un contrôle des connexions suspectes.

Source : Microsoft Authenticator Flaw Let Permissionless Android Apps Steal Work Account Tokens