Votre appli de sécurité avait une faille : ce qu’il faut savoir sur AuthMask
Imaginez une serrure ultra-sécurisée sur votre porte d’entrée, mais qui s’ouvre devant quiconque affirme « je suis le facteur ». C’est, en gros, ce qui s’est passé avec Microsoft Authenticator sur Android. Une faille baptisée AuthMask permettait à une application malveillante de se faire passer pour une application Microsoft de confiance et de récupérer un accès à votre compte professionnel Microsoft 365. Elle est corrigée : voici ce qu’il faut savoir, et la mise à jour à vérifier.
Une appli de sécurité prise en défaut : que s’est-il passé ?
Microsoft Authenticator, c’est l’application qui vous aide à confirmer votre identité quand vous vous connectez à Outlook, Teams ou OneDrive. Elle affiche un code qui change toutes les trente secondes, ou vous envoie une notification à valider. C’est la double authentificationSécurité supplémentaire pour un compte en ligne : en plus du mot de passe, il faut prouver que c'est bien vous, avec un code reçu par SMS ou une validation dans une application sur votre téléphone. Même si quelqu'un vole... : en plus de votre mot de passe, on vous demande une deuxième preuve que c’est bien vous.
Authenticator joue aussi un rôle d’intermédiaire. Quand Teams ou Outlook ont besoin de vous connecter, elles lui demandent un jeton, une sorte de badge d’accès temporaire qui prouve que vous êtes bien vous. Le problème se situait là : Authenticator croyait sur parole l’identité que lui annonçait l’application demandeuse, au lieu de vérifier qui lui parlait réellement.
La faille, référencée CVE-2026-80097 et surnommée AuthMask, a été découverte par Ofek Levin, chercheur chez Enclave. Microsoft lui attribue un score de gravité de 8,6 sur 10 et la qualifie d’importante.
Concrètement, une application malveillante installée sur votre téléphone Android pouvait prétendre être Teams. Authenticator lui remettait alors un jeton d’accès au compte professionnel connecté sur l’appareil. Lors des tests des chercheurs, ce jeton donnait des droits sur le courrier (lecture et envoi), les fichiers (lecture et écriture) et les agendas.
Y avait-il vraiment un risque ?
Sur ce point, Enclave et Microsoft ne sont pas d’accord, et il est honnête de le dire :
– Selon Enclave, sa démonstration récupérait les jetons sans aucune action de l’utilisateur, dès lors qu’un compte était déjà connecté ;
– Selon Microsoft, l’exploitation demande qu’une application malveillante soit installée et que l’utilisateur valide une étape d’authentification dans Authenticator.
Dans les deux cas, il faut d’abord qu’une application malveillante se trouve sur votre téléphone. À notre connaissance, aucune attaque réelle exploitant cette faille n’a été signalée dans les sources que nous avons consultées.
Qui est concerné, et est-ce corrigé ?
– Seule la version Android d’Authenticator est mentionnée. Les sources consultées ne parlent pas des iPhone.
– Le correctif est inclus dans la version 6.2606.4246 ou supérieure, rattachée au « Patch Tuesday » (la série de correctifs mensuelle de Microsoft) du 8 septembre 2026.
– Si les mises à jour automatiques sont activées sur votre téléphone, vous êtes déjà protégé.
Zone technique — pour les curieux et les passionnés
🤓 Pour aller plus loin : AuthMask, ou quand le gardien fait confiance à la mauvaise personne
D’après le rapport d’Enclave résumé par IT-Connect, la faille tient à un défaut de vérification de l’appelant :
1. L’écran de sélection de compte (`AccountChooserActivity`) était exposé à toutes les applications du téléphone, sans permission particulière ;
2. Authenticator construisait la demande de jeton à partir des valeurs fournies par l’appelant, dont le nom de l’application, et les croyait sur parole ;
3. Le contrôle de signature était réalisé par Authenticator lui-même. Une application malveillante pouvait lire la vraie signature de Teams (installé sur l’appareil) via le `PackageManager`, reconstruire l’URI de redirection attendue et la fournir dans sa requête ;
4. Authenticator connaissait pourtant le véritable appelant, mais il a préféré l’identité déclarée à l’identité réelle.
Ce schéma est un cas d’école de confused deputy (« adjoint trompé »), un problème de sécurité décrit dès 1988 par Norm Hardy : un programme légitime, qui détient des privilèges, agit au nom d’un autre sans vérifier de qui vient réellement la demande.
Les jetons d’accès, d’actualisation et d’identité étaient renvoyés en clair lors des tests d’Enclave, qui évoque aussi la possibilité de créer et de supprimer des passkeys. Le score CVSS retenu par Microsoft est de 8,6. La source ne précise ni la plage exacte des versions vulnérables, ni le nombre de comptes touchés.
Ce que vous pouvez faire dès maintenant 💡
– Vérifiez que Microsoft Authenticator est à jour : ouvrez le Google Play Store, cherchez l’application et regardez si le bouton Mettre à jour apparaît. Le numéro de version s’affiche aussi en bas de la page d’informations de l’appli, dans les paramètres Android (il doit être 6.2606.4246 ou supérieur).
– Activez les mises à jour automatiques dans les paramètres du Play Store : c’est une bonne habitude, qui vous protège sans y penser.
– N’installez des applications que depuis la boutique officielle (Google Play Store). Évitez les fichiers APK téléchargés sur des sites tiers : la faille demandait justement une application malveillante sur le téléphone.
– Faites le ménage : supprimez les applications que vous n’utilisez plus ou dont vous ne connaissez pas l’origine. Moins il y en a, moins il y a de risques.
– Consultez l’activité de votre compte Microsoft : Microsoft permet de voir les connexions récentes. Si l’une d’elles vous paraît inhabituelle, changez votre mot de passe sans attendre.
La sécurité, un effort permanent
Les outils de sécurité ne sont pas infaillibles : celui-ci a fait confiance à la mauvaise application. Mais Microsoft a corrigé la faille, et la meilleure parade reste simple : garder ses applications à jour. 🔒
Et vous, avez-vous déjà eu à gérer une alerte de sécurité sur l’un de vos comptes ? Comment avez-vous réagi, et qu’en avez-vous retenu ?
Source : IT-Connect, « Microsoft Authenticator : la faille AuthMask… »
