Microsoft Authenticator : une faille livrait vos jetons sur Android

Microsoft Authenticator est souvent présenté comme la brique de confiance de l'authentification en entreprise. C'est lui qui valide les connexions, porte la double authentification et, sur Android, sert d'intermédiaire pour ouvrir Teams, Outlook ou OneDrive sans ressaisir son mot de passe.

C'est précisément ce rôle d'intermédiaire qui était en cause. Une vulnérabilité, référencée CVE-2026-80097, permettait à une application Android malveillante, sans aucune permission déclarée, de se faire remettre les jetons d'accès du compte professionnel enregistré sur le téléphone. Microsoft l'a corrigée : la version 6.2606.4246 et les suivantes ne sont plus vulnérables.

Ce que l'on sait

Microsoft a publié l'avis le 8 septembre 2026. La faille est classée en élévation de privilèges, rattachée à la catégorie CWE-287 (authentification incorrecte), avec un score CVSS de 8,6. Les détails techniques ont été rendus publics fin octobre par les chercheurs d'Enclave, sous le nom « AuthMask ».

Selon leur analyse, le mécanisme est le suivant :

Authenticator exposait un composant Android, `AccountChooserActivity`, que n'importe quelle application installée sur le téléphone pouvait déclencher.
La demande de jeton contenait l'identité de l'application appelante : nom du paquet, identifiant client, adresse de redirection, droits demandés. Ces informations étaient fournies par l'appelant lui-même.
Le contrôle de l'adresse de redirection reposait sur la signature de l'application annoncée, et non sur celle de l'application réelle. Une application malveillante pouvait donc se faire passer pour Teams.
Authenticator renvoyait alors un jeton d'accès, un jeton de rafraîchissement et un jeton d'identité, en clair.

Dans leurs tests, les chercheurs ont obtenu, en se présentant comme Teams, des droits Microsoft Graph sur la messagerie (lecture, écriture, envoi), les fichiers, les calendriers, SharePoint et les conversations. Ils ont aussi obtenu des droits sur les méthodes d'authentification de l'utilisateur, y compris la création et la suppression de clés d'accès (passkeys).

À ce jour, Microsoft n'indique pas d'exploitation active et juge l'exploitation « peu probable ». La faille exige qu'une application malveillante soit installée sur le téléphone : elle ne s'exploite pas à distance.

Pourquoi c'est sérieux malgré tout

La condition d'exploitation peut sembler limitante. Elle l'est moins qu'il n'y paraît :

Aucune permission n'est nécessaire. Une application d'apparence banale (lampe torche, jeu, utilitaire) ne déclenche aucune alerte à l'installation.
Les jetons valent plus qu'un mot de passe. Un jeton de rafraîchissement permet de maintenir un accès sans repasser par la double authentification tant qu'il reste valide.
Le téléphone est souvent personnel. Dans beaucoup d'organisations, Authenticator tourne sur des appareils non gérés, où l'entreprise ne contrôle ni les applications installées ni les mises à jour.
Le compte professionnel ouvre tout. Messagerie, documents partagés, Teams : c'est exactement ce qu'un attaquant cherche pour une fraude au président ou un vol de données.

Les actions à mener cette semaine

Vérifier la version d'Authenticator. Tous les appareils Android doivent être en 6.2606.4246 ou plus. Les mises à jour automatiques du Play Store ne sont pas toujours actives.
Imposer une version minimale. Avec Intune ou votre outil de gestion de flotte mobile, bloquez l'accès aux ressources de l'entreprise depuis une version obsolète de l'application.
Encadrer les appareils personnels. Si Authenticator est installé sur des téléphones non gérés, appliquez au minimum des stratégies de protection des applications et des règles d'accès conditionnel.
Surveiller les connexions inhabituelles. Recherchez dans les journaux Entra ID des jetons émis pour Teams ou Microsoft Graph depuis des contextes inattendus, et des modifications de méthodes d'authentification (ajout ou suppression de passkeys).
Sensibiliser les utilisateurs. Rappelez de n'installer que des applications utiles, depuis le magasin officiel, sur un téléphone qui porte un compte professionnel.

Notre regard

Cette faille illustre un point que nous retrouvons souvent en audit : les applications mobiles d'authentification sont rarement incluses dans le périmètre des tests, alors qu'elles concentrent les clés d'accès à tout le système d'information. Un composant exposé par erreur suffit à faire tomber la confiance que l'on place dans la double authentification.

Nos équipes réalisent des audits d'applications mobiles sensibles et des revues de configuration Microsoft 365, Entra ID et Intune. Vous voulez savoir si vos appareils mobiles sont la porte d'entrée de votre tenant ? Contactez nos experts.