Cosa è successo?
Microsoft ha confermato una vulnerabilità critica nella propria app Authenticator, attraverso la quale gli aggressori possono ottenere i token di accesso degli account utente. La falla, identificata con la sigla CVE-2026-41615, consente a soggetti non autorizzati di sottrarre informazioni sensibili attraverso la rete e ottenere così l'accesso a risorse riservate esclusivamente al legittimo titolare dell'account. Microsoft classifica il rischio come "critico" con un punteggio CVSS di 9.6. Versioni aggiornate dell'app sono già disponibili per il download su Android e iOS.
I dettagli
Secondo la scheda della vulnerabilità pubblicata da Microsoft, la falla può esporre il token di accesso all'account di lavoro degli utenti. In questo modo gli aggressori ottengono l'accesso a tutti i dati e i servizi per cui l'account utente interessato dispone di autorizzazioni – potenzialmente anche a informazioni aziendali sensibili.
Il vettore d'attacco richiede un'interazione da parte della vittima: gli aggressori devono indurre una persona a interagire con una richiesta apparentemente legittima ma dannosa. Se la vittima conferma tale richiesta, l'app può essere indotta a richiedere token di accesso per conto dell'utente. Questi token vengono quindi consegnati a un servizio sotto il controllo degli aggressori. Il problema è che le vittime non ricevono informazioni chiare su quale accesso sia stato effettivamente concesso – l'attacco resta quindi in gran parte inosservato.
Interessante è la diversa valutazione del rischio: mentre Microsoft classifica la falla come "critica" con un CVSS di 9.6, il NIST, nella voce del database NVD, arriva a un valore di soli 7.4, corrispondente alla classificazione "alto". Microsoft sottolinea inoltre che la vulnerabilità non è stata finora sfruttata attivamente e che al momento non esiste alcun exploit pubblicamente disponibile.
Inquadramento
Le app di autenticazione sono generalmente considerate un elemento fondamentale dell'autenticazione a due fattori e dovrebbero prevenire proprio scenari di attacco come l'appropriazione di account. Se è proprio questo livello di protezione a diventare il punto d'ingresso, la questione assume un peso particolare – soprattutto in ambito aziendale, dove gli account di lavoro spesso garantiscono un accesso esteso a sistemi interni, documenti e piattaforme di comunicazione.
Degno di nota è anche il vettore d'attacco: non si tratta di una falla puramente tecnica sfruttabile senza alcuna azione da parte dell'utente, bensì di un meccanismo che fa leva sull'ingegneria sociale. Gli utenti devono confermare attivamente una richiesta apparentemente legittima. Ciò dimostra ancora una volta che le sole misure di protezione tecniche non sono sufficienti quando gli aggressori prendono di mira l'elemento umano come anello più debole della catena di sicurezza.
La discrepanza tra la valutazione di Microsoft e quella del NIST evidenzia inoltre quanto i rischi possano essere valutati in modo diverso a seconda della metodologia impiegata. Per le aziende e gli utenti privati resta rilevante, nella pratica, che una classificazione critica da parte del produttore stesso debba essere presa sul serio, indipendentemente da valutazioni esterne divergenti.
Consigli pratici
- Verificate immediatamente se il vostro Microsoft Authenticator è aggiornato all'ultima versione. Su Android è richiesta la versione 6.2605.2973 o successiva, su iOS almeno la versione 6.8.47.
- Il numero di versione attuale può essere consultato nel menu dell'app sotto "Guida" e quindi in "Informazioni" – "Versione applicazione".
- Se gli aggiornamenti automatici delle app sono disattivati sul dispositivo mobile, è necessario cercare manualmente gli aggiornamenti su Google Play Store o sull'App Store di iOS.
- Diffidate sempre di richieste di accesso o notifiche push inattese da parte di Authenticator, specialmente se appaiono insolite o non corrispondono a un'azione di accesso effettuata personalmente.
- Le aziende dovrebbero sensibilizzare i propri dipendenti sugli attacchi di ingegneria sociale, poiché il vettore d'attacco descritto richiede una conferma attiva da parte dell'utente.
Prospettive
Poiché finora non è nota né una sfruttamento attivo della falla né un exploit pubblicamente disponibile, al momento non sussiste una pressione ad agire immediata legata a un'ondata di attacchi già in corso. Ciononostante, gli utenti dovrebbero installare tempestivamente gli aggiornamenti disponibili per escludere il rischio di un futuro abuso. L'esperienza dimostra che, con la divulgazione pubblica di una vulnerabilità, cresce anche l'interesse degli aggressori nello sviluppare i relativi exploit. L'aggiornamento tempestivo dell'app resta quindi la misura più efficace per proteggersi da potenziali attacchi che sfruttano questa falla.
