Enclave reveló cómo una app maliciosa instalada en un teléfono Android podía obtener tokens de una cuenta de trabajo con sesión iniciada en Microsoft Authenticator. Microsoft ya corrigió la falla, que en las pruebas descritas por la firma permitió acceder al correo, los archivos y el calendario del usuario.
La investigación, publicada el 23 de octubre de 2026, llama al problema AuthMask. Corresponde a CVE-2026-80097, cuyo registro de Microsoft se publicó el 8 de septiembre. La compañía lo clasifica como una vulnerabilidad de elevación local de privilegios de gravedad alta, con una puntuación CVSS de 8.6 sobre 10.
Cómo el fallo podía alcanzar datos de Microsoft 365
Microsoft documenta que Authenticator también actúa como intermediario de autenticación, o broker, para facilitar el inicio de sesión único entre aplicaciones compatibles. Esa función permite usar una sesión existente para acceder a otras apps, sin repetir todo el proceso de identificación.
Los tokens de acceso son credenciales que autorizan el acceso a recursos concretos en nombre de un usuario autenticado. Por eso, el alcance de una falla en ese intermediario puede extenderse a información guardada en servicios de trabajo.
Según Enclave, Authenticator comprobaba la identidad que la aplicación solicitante decía tener, pero no la vinculaba con la app que realmente hacía la petición. Los investigadores afirmaron que pudieron hacerse pasar por Teams y recibir tokens con permisos para leer y modificar correos, enviar mensajes, acceder a archivos y cambiar calendarios.
Esos permisos eran delegados. Como explica Microsoft en su documentación de permisos, permiten actuar en nombre del usuario dentro de los accesos autorizados a la aplicación y a esa persona.
La versión corregida y las condiciones del ataque
El escenario probado requería Authenticator con una cuenta de trabajo iniciada, una aplicación de Microsoft instalada cuya identidad pudiera suplantarse y la app maliciosa ejecutándose en el mismo teléfono. Enclave afirmó que esta última no necesitaba permisos especiales de Android.
El informe describe una demostración técnica; no documenta una campaña de ataques ni un número de víctimas.
El registro CVE identifica como afectadas las versiones desde la 6.0.0 y anteriores a la 6.2606.4246. Esta última incorpora la corrección. Microsoft recomienda en su guía de soporte mantener Authenticator en su versión más reciente. La actualización cierra esta vía de suplantación en el componente que conecta las aplicaciones del teléfono con la cuenta de trabajo.
