Ofek Levin, chercheur chez la société de cybersécurité Enclave, a publié le 23 octobre le détail de la faille, qu’il a baptisée AuthMask. Il a montré qu’une application Android sans aucune autorisation pouvait se faire passer pour Teams et obtenir de Microsoft Authenticator les jetons du compte professionnel connecté.
Ces jetons servent de laissez-passer numériques : ils ouvrent la boîte e-mail, les fichiers OneDrive et SharePoint ou l’agenda, sans mot de passe ni double authentification. Et Authenticator compte plus de 100 millions de téléchargements sur le Play Store.
Microsoft a publié son avis de sécurité le 8 septembre 2026, sous la référence CVE-2026-80097. Toutes les versions Android antérieures à la 6.2606.4246 sont touchées. Pourtant, cette version corrigée était disponible dès juillet 2026, avant même l’avis. Le fonctionnement de la faille n’est devenu public qu’un mois et demi après.
Authenticator croyait les applications sur parole
Sur Android, Authenticator sert d’intermédiaire : quand Teams ou Outlook veut vous connecter, il lui demande un jeton. Or une partie d’Authenticator pouvait être lancée par n’importe quelle application du téléphone.
Elle vérifiait seulement que la demande collait au vrai Teams installé, dont les informations sont lisibles par tous, sans contrôler qui envoyait vraiment la requête.
En se faisant passer pour Authenticator lui-même, l’application de test d’Enclave a même pu créer et supprimer des clés d’accès (les fameuses passkeys), de quoi garder la main sur le compte après la suppression de l’application piégée.
L’attaque exigeait tout de même d’installer une application malveillante sur un téléphone où un compte professionnel était connecté à Authenticator. Ensuite, le vol se faisait sans aucune action de l’utilisateur.
Ce qu’il faut vérifier sur votre téléphone
Mettez à jour Microsoft Authenticator depuis le Play Store, puis vérifiez que la version installée est au moins la 6.2606.4246. Si vous gérez des téléphones d’entreprise, imposez cette version minimale dans votre outil de gestion de flotte.
Pour le reste, les réglages de base pour sécuriser un smartphone s’appliquent. Méfiez-vous des applications installées hors des boutiques officielles, et même sur le Play Store : de fausses versions de WhatsApp et Chrome ont déjà réussi à s’y glisser.
Pour aller plus loin
Comment sécuriser votre smartphone, votre tablette ou votre PC ? Le guide ultime !
Les bons plans n’attendent pas : abonnez-vous à notre canal WhatsApp Frandroid Bons Plans ! (zéro spam, promis, juste de super bons plans).
Vous aimez nos contenus ? Dites-le à Google en ajoutant Frandroid à vos sources préférées en un clic.
Ce contenu est bloqué car vous n'avez pas accepté les cookies et autres traceurs. Ce contenu est fourni par Disqus.
Pour pouvoir le visualiser, vous devez accepter l'usage étant opéré par Disqus avec vos données qui pourront être utilisées pour les finalités suivantes : vous permettre de visualiser et de partager des contenus avec des médias sociaux, favoriser le développement et l'amélioration des produits d'Humanoid et de ses partenaires, vous afficher des publicités personnalisées par rapport à votre profil et activité, vous définir un profil publicitaire personnalisé, mesurer la performance des publicités et du contenu de ce site et mesurer l'audience de ce site (en savoir plus)
En cliquant sur « J’accepte tout », vous consentez aux finalités susmentionnées pour l’ensemble des cookies et autres traceurs déposés par Humanoid et .
Vous gardez la possibilité de retirer votre consentement à tout moment. Pour plus d’informations, nous vous invitons à prendre connaissance de notre Politique cookies.