Microsoft ha risolto una vulnerabilità critica in Authenticator per Android che consentiva a qualsiasi applicazione installata sullo stesso smartphone di intercettare i token di accesso agli account di lavoro. Il bug, ora corretto, rappresentava una minaccia concreta per la riservatezza di email, file e calendari aziendali.
Come funzionava l'attacco
Secondo quanto ricostruito, un'app malevola poteva semplicemente fingersi Microsoft Teams per ottenere i token di autenticazione conservati dall'app. Non servivano permessi di root né tecniche particolarmente sofisticate: bastava installare un software dannoso sul dispositivo della vittima. Una volta ottenuti i token, l'attaccante poteva leggere la posta, scaricare documenti e consultare il calendario senza che l'utente si accorgesse di nulla.
La falla riguardava esclusivamente la versione Android di Authenticator, mentre le altre piattaforme non risultano interessate. Microsoft ha classificato il problema come importante e ha rilasciato una patch tramite il consueto aggiornamento dell'app sul Play Store.
L'impatto e cosa fare
La vicenda mette in luce i rischi legati alla sicurezza degli ambienti mobili, dove più applicazioni condividono lo stesso spazio e possono interagire in modi inattesi. Un token di accesso rubato, infatti, è spesso sufficiente per aggirare l'autenticazione a più fattori e muoversi lateralmente nella rete aziendale.
Per gli utenti la raccomandazione è semplice: aggiornare subito Microsoft Authenticator all'ultima versione disponibile e verificare di non avere app sospette installate. Le aziende, dal canto loro, dovrebbero monitorare gli accessi anomali e adottare politiche di revoca periodica dei token per limitare i danni in caso di compromissione.
