Uma linha de código expôs bilhões de downloads de apps Android da Microsoft

A falha 'FlagLeft' não foi um erro de codificação isolado, mas uma quebra sistêmica no modelo de segurança de tokens FOCI da Microsoft: uma única linha setIsDebugMode(true) desabilitou restrições de compartilhamento de credenciais entre apps no mesmo dispositivo Android. Isso transformou o mecanismo projetado para facilitar login único em uma porta aberta para qualquer app malicioso, sem permissão, sem prompt, sem rastreio. Diferente de tokens OAuth clássicos, os tokens FOCI são persistentes, reutilizáveis e não geram alertas de acesso suspeito, o que os torna ideais para exfiltração silenciosa de e-mails, OneDrive, calendário e até histórico de conversas do Copilot.

O detalhe técnico crítico é que a flag estava ativa em um SDK compartilhado usado por seis apps, Word, Excel, PowerPoint, Copilot, Loop e OneNote, mas *não* no Teams. Essa discrepância mostra que o problema não era de arquitetura, mas de controle de qualidade no ciclo de build: o modo debug foi esquecido nas versões de produção, não removido intencionalmente. A Microsoft corrigiu em 12/05/2026, mas a falha só foi divulgada publicamente em 04/06/2026, após confirmação de que não houve exploração ativa.

Na cobertura anterior do CEVIU sobre o Copilot Cowork (02/05/2026), apontamos riscos de exfiltração via e-mail e links do OneDrive, uma ameaça baseada em engenharia social e injeção de prompt. Agora, com a FlagLeft, o risco mudou de natureza: não depende de interação do usuário, nem de configuração errada, nem de terceiros. É uma vulnerabilidade de autenticação nativa, presente em bilhões de instalações, explorável com 15 linhas de código e capaz de roubar tokens sem deixar rastro. Também é a primeira vez que vemos um SDK Microsoft com depuração ativada em produção afetando diretamente a cadeia de confiança de tokens FOCI, algo que não apareceu nas falhas anteriores do VSCode ou npm, que envolviam integrações externas ou pacotes maliciosos.

Empresas que adotaram MDMs para gerenciar dispositivos Android devem revisar imediatamente se aplicativos Microsoft estão na versão mínima 16.0.19822.20190, pois atualizações via Play Store não garantem correção automática em ambientes corporativos fechados. Mais grave: como tokens FOCI persistem após atualização, apenas reinstalar o app não resolve. É preciso revogar manualmente os tokens de atualização nas configurações de segurança da conta Microsoft ou forçar novo login. Falhas assim não são 'bugs menores': elas contornam toda a camada de proteção de senhas, MFA e políticas de sessão, reduzindo a segurança de identidade a uma linha de código esquecida.