Authenticator sur Android : une faille pouvait ouvrir le compte pro

Concerné ?

Vous êtes concerné si vous utilisez Microsoft Authenticator sur Android avec un compte professionnel et une version antérieure à 6.2606.4246. Pour exploiter la faille, une application malveillante devait aussi être installée sur le téléphone.

Pas concerné si : votre version d’Authenticator est la 6.2606.4246 ou une version ultérieure. Cette version corrige la faille décrite ici.

Comment on le sait

Une application Android sans autorisation pouvait se faire passer pour Teams et obtenir des jetons de connexion auprès d’Authenticator. Frandroid décrit ce mécanisme dans son article du 27 octobre 2026. La faille porte la référence CVE-2026-80097 ; le correctif était disponible dès juillet 2026.

Ce qu’on ne sait pas : l’article n’établit ni nombre de comptes touchés ni cas d’exploitation réelle.

Le risque

Sur un téléphone où un compte professionnel était connecté, une application malveillante pouvait obtenir des jetons donnant accès aux e-mails, aux fichiers et à l’agenda professionnels, sans mot de passe ni double authentification. Lors d’un test, elle a aussi pu créer et supprimer des clés d’accès. Il s’agit d’une possibilité démontrée, pas d’un accès frauduleux constaté chez des utilisateurs.

Le contexte

• Une autre faille de Microsoft Authenticator pouvait déjà exposer des jetons de connexion sur Android et iOS, rapportait Frandroid le 18 mai 2026.
• Une messagerie compromise peut aussi servir de point de départ pour attaquer d’autres comptes, selon l’ANSSI dans sa fiche du 15 juillet 2024.

Quoi faire maintenant

1. Mettez Microsoft Authenticator à jour depuis le Play Store.
2. Vérifiez que la version installée est au moins la 6.2606.4246.
3. Évitez les applications dont l’origine ou la réputation est douteuse.