Une vulnérabilité critique dans Microsoft Authenticator permet aux applications de voler des jetons de compte, donnant accès aux e-mails, fichiers et calendriers sans mot de passe.
Un chercheur révèle une faille Android
Ofek Levin, chercheur auprès de l'entreprise de cybersécurité Enclave, a publié le 23 octobre les détails d'une faille qu'il a baptisée AuthMask. Il a démontré qu'une application Android sans aucune autorisation pouvait se faire passer pour Microsoft Teams et obtenir les jetons d'accès de Microsoft Authenticator liés à un compte professionnel.Des jetons qui donnent accès à des données sensibles
Ces jetons fonctionnent comme des laissez-passer numériques : ils permettent d'accéder à la messagerie, à OneDrive, aux fichiers SharePoint ou au calendrier, sans mot de passe ni authentification à deux facteurs. Authenticator compte plus de 100 millions de téléchargements sur le Play Store, ce qui en fait un outil de sécurité largement utilisé.Microsoft réagit
Microsoft a publié son avis de sécurité le 8 septembre 2026, sous la référence CVE-2026-80097. Toutes les versions Android antérieures à la 6.2606.4246 sont concernées. Toutefois, cette version corrigée était disponible dès juillet 2026, avant la publication de l'avis.Une faille rendue publique avec retard
Le fonctionnement de la faille n'a été rendu public qu'un mois et demi plus tard. Authenticator faisait confiance aux applications sur parole, en supposant que seules les applications légitimes demanderaient des jetons.Comment fonctionne l'attaque
Sur Android, Authenticator sert d'intermédiaire : lorsque Teams ou Outlook veut se connecter, il lui demande un jeton. Or, une partie d'Authenticator pouvait être lancée par n'importe quelle application du téléphone. Il vérifiait seulement que la requête correspondait à la véritable application Teams installée, dont les informations sont lisibles par tous, sans contrôler qui avait réellement envoyé la requête.L'attaque ne nécessite aucune action de l'utilisateur
En se faisant passer pour Authenticator lui-même, l'application de test d'Enclave a même pu créer et supprimer des clés d'accès (les fameuses passkeys), ce qui lui aurait permis de conserver le contrôle du compte après la suppression de l'application malveillante. L'attaque exigeait l'installation d'une application malveillante sur un téléphone où un compte professionnel était connecté à Authenticator. Ensuite, le vol se produisait sans aucune action de l'utilisateur.Les étapes pour sécuriser votre appareil
Ce qu'il faut vérifier sur votre téléphone : mettez à jour Microsoft Authenticator depuis le Play Store, puis vérifiez que la version installée est au moins la 6.2606.4246. Si vous gérez des téléphones d'entreprise, imposez cette version minimale dans votre outil de gestion de parc. Pour les autres, les réglages de base pour sécuriser un smartphone restent valables. Méfiez-vous des applications installées hors des magasins officiels, et même sur le Play Store : de fausses versions de WhatsApp et de Chrome ont déjà réussi à s'y glisser.
