Kecacatan keselamatan dalam Microsoft Authenticator untuk Android

Bayangkan telefon anda merupakan kunci utama untuk kehidupan kerja anda, tetapi ternyata kunci tersebut mempunyai retakan yang boleh dieksploitasi oleh seseorang untuk memasuki rumah anda tanpa anda sedari. Itulah yang berlaku dengan Microsoft Authenticator pada Android , di mana kecacatan keselamatan yang serius membolehkan aplikasi berniat jahat menyusup masuk ke dalam sistem dan mencuri akses ke akaun syarikat.

Ia bukanlah sebab untuk panik, tetapi ia adalah sebab untuk dibimbangkan. Masalahnya terletak pada cara aplikasi itu mengurus identiti alatan Microsoft yang lain, membiarkan pintu terbuka untuk mana-mana aplikasi berniat jahat menyamar sebagai Teams atau Outlook bagi mencuri token akses dan mengintip e-mel, kalendar dan fail peribadi.

Kerumitan teknikal keputusan CVE-2026-80097

Bagi anda yang menyukai butiran teknikal, masalahnya ialah Authenticator menggunakan aktiviti yang dipanggil AccountChooserActivity yang ditanda sebagai dieksport. Ini bermakna mana-mana aplikasi yang dipasang pada telefon boleh melancarkannya. Kelemahan kritikalnya ialah aplikasi tersebut sebenarnya tidak mengesahkan siapa yang membuat permintaan; ia hanya melihat tandatangan pakej yang mendakwa sebagai pemanggil.

Memandangkan kebanyakan daripada kita telah memasang Teams, aplikasi berniat jahat itu hanya perlu berpura-pura menjadi Teams . Dengan berbuat demikian, Authenticator melihat bahawa tandatangan Teams sah pada peranti dan, tanpa bertanya sebarang soalan lanjut, melepaskan token akses. Perkara yang paling membimbangkan ialah perkara ini boleh berlaku tanpa pengguna melihat sebarang amaran atau perlu meluluskan apa-apa pada skrin.

Apakah risiko sebenar yang dihadapi oleh pengguna?

Jika seseorang berjaya memasang aplikasi penipuan pada peranti anda, mereka akan mendapat akses penuh yang diwakilkan. Mereka boleh membaca dan menghantar e-mel , mengubah suai fail SharePoint, mengakses kalendar dan juga menghantar mesej melalui Teams sambil menyamar sebagai anda. Ini bukan serangan jarak jauh; ia memerlukan aplikasi berniat jahat itu sudah ada pada telefon anda, biasanya dimuat turun daripada sumber yang tidak dipercayai.

Tetapi ada sesuatu yang lebih penting: keupayaan untuk mengurus kunci laluan dan kaedah pengesahan . Penyerang yang bijak mungkin telah mendaftarkan kunci akses mereka sendiri ke akaun anda. Ini adalah masalah yang serius kerana, walaupun anda memadam aplikasi berniat jahat atau menukar kata laluan anda, penyerang masih akan mempunyai titik masuk kekal ke akaun kerja anda.

Panduan survival dan penyelesaian masalah ralat biasa

Langkah pertama dan paling penting adalah mengemas kini aplikasi kepada versi 6.2606.4246 atau lebih tinggi melalui Google Play Store. Jika anda bekerja untuk sebuah syarikat, adalah penting bagi pasukan IT untuk memaksa kemas kini ini menggunakan Intune bagi mengelakkan peranti mudah alih yang terdedah daripada tersebar.

Selain daripada isu keselamatan, ramai pengguna menghadapi masalah harian yang boleh mengecewakan. Berikut adalah beberapa penyelesaian pantas:

• Masalah dengan pengimbasan QR: Jika anda tidak dapat menambah akaun, pastikan anda mempunyai versi aplikasi terkini, kerana versi lama sering mempunyai masalah keserasian.
• Pemberitahuan yang tamat tempoh: Ini biasanya berlaku apabila jam telefon anda tidak disegerakkan. Tetapkan masa sistem dalam mod automatik dan mulakan semula komputer.
• Akaun tidak aktif atau kelabu: Jangan risau jika anda melihat ikon kelabu; ia biasanya akaun yang dibuat oleh aplikasi lain untuk daftar masuk tunggal dan mereka tidak memerlukan pengurusan.
• Ralat Root atau Jailbreak: Bermula pada tahun 2026, Microsoft akan menyekat penggunaan kelayakan profesional pada peranti yang di-root untuk mengukuhkan keselamatan.

Cara keluar dari kesesakan lalu lintas jika anda kehilangan akses

Terdapat kes di mana pengguna terkunci daripada akaun mereka kerana telefon mereka rosak atau hilang dan mereka tidak dapat menerima kod tersebut. Untuk menyelesaikan masalah ini, penyelesaian terbaik adalah dengan mengakses profil akaun organisasi, pergi ke bahagian pengesahan keselamatan tambahan dan alih keluar pautan ke Pengesah lama untuk menyediakan yang baharu dari awal.

Jika anda menemui mesej ralat bahawa anda telah meminta terlalu banyak kod, anda tiada pilihan selain menunggu selama 24 jam . Ini adalah mekanisme pertahanan sistem untuk mencegah serangan brute-force, walaupun ia boleh mengecewakan apabila anda tergesa-gesa untuk menyelesaikan sesuatu.

Langkah-langkah untuk pentadbir sistem dan keselamatan

Bagi mereka yang menguruskan infrastruktur, hanya mengemas kini aplikasi tidak mencukupi. Adalah dinasihatkan untuk menyemak log ID Entra untuk mengesan sebarang entri kunci laluan yang mencurigakan atau peranti FIDO2 yang tidak dikenali oleh pekerja. Jika terdapat sebarang keraguan, tindakan terbaik adalah membatalkan semua sesi dan menyegarkan semula token, memaksa pengguna untuk mengesahkannya semula.

Adalah penting untuk menyekat pemasangan aplikasi daripada sumber yang tidak diketahui pada profil kerja. Perisian antivirus membantu, tetapi pertahanan sebenar adalah memastikan Google Play Protect aktif dan memastikan broker pengesahan sentiasa terkini, kerana ini adalah mata rantai paling lemah dalam rantaian identiti mudah alih.

Mengemas kini aplikasi Microsoft Authenticator adalah satu-satunya cara untuk menutup jurang keselamatan yang membenarkan kecurian token melalui penyamaran aplikasi korporat. Menggabungkan kemas kini ke versi yang ditampal dengan semakan kaedah log masuk berdaftar dan tetapan masa dan pemberitahuan peranti yang betul akan memastikan akses kepada perkhidmatan Microsoft 365 kekal selamat dan bebas daripada masalah teknikal.