È stata corretta una vulnerabilità in Microsoft Authenticator che consentiva ad applicazioni Android prive di permessi di sottrarre i token degli account di lavoro degli utenti. La falla, segnalata dai ricercatori e risolta da Microsoft, metteva a rischio le credenziali usate per l’autenticazione a più fattori in ambiente aziendale.
L’episodio è rilevante perché tocca uno degli strumenti più diffusi per proteggere l’accesso ai servizi cloud e ai sistemi interni, nel pieno delle strategie di accesso basate su identità.
La natura della vulnerabilità
Il problema risiedeva nella gestione delle sessioni e dei token memorizzati dall’app sul dispositivo. In specifiche condizioni, un’applicazione Android priva dei permessi richiesti poteva indurre Authenticator a esporre i token associati agli account di lavoro, rendendoli potenzialmente utilizzabili da un malintenzionato.
Microsoft ha rilasciato una correzione in un aggiornamento dell’app, invitando gli utenti a installare la versione più recente e a verificare gli accessi registrati sui propri account.
Le conseguenze per le aziende
Un token sottratto può trasformarsi in un accesso non autorizzato ai servizi aziendali, aggirando di fatto la seconda barriera rappresentata dall’autenticazione a più fattori. Per questo gli amministratori dovrebbero adottare misure aggiuntive, come la revoca delle sessioni sospette e l’adozione di criteri di accesso condizionale.
La difesa passa anche dalla consapevolezza degli utenti: mantenere aggiornate le applicazioni è una prassi semplice, ma spesso trascurata, che riduce in modo significativo la superficie di attacco.
Rafforzare la protezione delle identità
L’accaduto ricorda che anche gli strumenti di sicurezza devono essere aggiornati e monitorati con regolarità. Nessuna tecnologia elimina del tutto il rischio, ma una corretta gestione può limitarne l’impatto.
Il valore dell’autenticazione multi-fattore
Nonostante la falla, l’autenticazione a più fattori resta una delle difese più efficaci contro il furto di credenziali. L’episodio mostra, però, che anche i sistemi di protezione richiedono cura e aggiornamenti costanti per continuare a svolgere il proprio ruolo.
Affidarsi a un unico strumento senza verifiche periodiche espone a rischi evitabili. La combinazione di più livelli di difesa e la revisione continua delle configurazioni restano le strategie più solide per proteggere gli account aziendali.
L’aggiornamento di Authenticator è distribuito attraverso i consueti canali degli store; agli utenti aziendali si raccomanda di centralizzare la gestione degli aggiornamenti, così da garantire che tutti i dispositivi risultino allineati alla versione corretta nel minor tempo possibile.
Le organizzazioni più strutturate potrebbero inoltre rivedere i propri criteri di rilevamento delle anomalie sugli accessi, integrando segnali aggiuntivi come la posizione e il dispositivo di origine della richiesta di autenticazione. Una revisione periodica dei privilegi e dei dispositivi fidati completa il quadro, rendendo più difficile per un attaccante sfruttare eventuali ulteriori debolezze.
Per le organizzazioni che usano Microsoft Authenticator, il suggerimento è completare l’aggiornamento, controllare i log di accesso e considerare l’adozione di metodi di autenticazione moderni, come le passkey, che riducono la dipendenza dai token tradizionali.
Fonte: The Hacker News — https://thehackernews.com/2026/10/microsoft-authenticator-flaw-let.html