O problema foi descoberto pelo pesquisador Ofek Levin, que atuava por meio de um programa de bolsa na empresa de segurança Enclave. De acordo com o recém-publicado relatório da Enclave , o Authenticator faz mais no sistema Android do que apenas gerar códigos numéricos de seis dígitos.

O aplicativo atua como um gerenciador central de acesso, conhecido tecnicamente como “broker”. Quando precisam autenticar um usuário, softwares como o Teams ou o Outlook solicitam à plataforma um token, que funciona como um passe digital provando que a pessoa está logada.

A brecha ocorria porque o Authenticator expunha um componente interno chamado “AccountChooserActivity”, que podia ser iniciado por qualquer aplicativo presente no dispositivo. Quando um software malicioso acionava esse reccurso, o aplicaitvo criava a solicitação de acesso utilizando as informações fornecidas pelo invasor, incluindo o nome do programa que fingia ser, como o Teams .

A checagem de segurança falhava porque o Authenticator apenas conferia se a assinatura digital do aplicativo indicado existia no aparelho. Como o Microsoft Teams original estava instalado no celular, o registro correto era encontrado e a verificação passava por engano. O programa sabia qual aplicativo fez o pedido de verdade, mas ignorava esse dado na hora de entregar o passe de acesso.

Em testes práticos realizados pela equipe da Enclave, ao fingir ser o Teams e solicitar conexões com a ferramenta Microsoft Graph , o sistema retornava permissões amplas que incluíam ler e enviar e-mails, acessar e modificar arquivos, e manipular calendários corporativos.

Há uma divergência entre a descoberta da empresa de segurança e a posição oficial da Microsoft quanto à facilidade de exploração da falha. A Enclave relatou na pesquisa que o método de prova de conceito conseguia retornar os tokens de acesso sem nenhuma interação por parte da vítima, o que bastava apenas que a conta estivesse conectada no gerenciador.

A nossa prova de conceito conseguiu extrair tokens sem nenhuma interação do usuário, além da presença do broker com uma conta de trabalho conectada”