Varnostna napaka v programu Microsoft Authenticator za Android

Predstavljajte si, da je vaš telefon glavni ključ vašega delovnega življenja, vendar se izkaže, da ima ta ključ razpoko, ki jo lahko nekdo izkoristi za vstop v vaš dom, ne da bi opazili. No, prav to se je zgodilo z Microsoft Authenticatorjem v sistemu Android , kjer je resna varnostna napaka zlonamernim aplikacijam omogočila vdor v sistem in krajo dostopa do poslovnih računov.

Ni vzrok za paniko, je pa zaskrbljujoče. Težava je v tem, kako je aplikacija upravljala identiteto drugih Microsoftovih orodij, kar je pustilo odprta vrata kateri koli zlonamerni aplikaciji , da se izdaja za Teams ali Outlook, krade dostopne žetone in vohuni za e-pošto, koledarji in zasebnimi datotekami.

Tehnične zapletenosti sodbe CVE-2026-80097

Za tiste, ki vam so všeč tehnične podrobnosti, težava je bila v tem, da je Authenticator uporabljal aktivnost z imenom AccountChooserActivity, ki je bila označena kot izvožena. To je pomenilo, da jo je lahko zagnala katera koli aplikacija, nameščena v telefonu . Ključna napaka je bila, da aplikacija dejansko ni preverjala, kdo je oddal zahtevo; preprosto je preverjala podpis paketa, ki se je predstavljal kot klicatelj.

Ker ima večina od nas nameščen Teams, se je zlonamerna aplikacija morala le pretvarjati, da je Teams . S tem je Authenticator videl, da je podpis Teams na napravi veljaven, in brez nadaljnjih vprašanj sprostil žetone za dostop. Najbolj zaskrbljujoče je, da se je to lahko zgodilo, ne da bi uporabnik videl kakršna koli opozorila ali moral karkoli odobriti na zaslonu.

S katerimi resničnimi tveganji se soočajo uporabniki?

Če bi nekomu uspelo namestiti prevarantsko aplikacijo v vašo napravo, bi pridobil poln delegiran dostop. Lahko bi bral in pošiljal e-pošto , spreminjal datoteke SharePointa, dostopal do koledarjev in celo pošiljal sporočila prek aplikacije Teams, medtem ko bi se lažno predstavljal kot vi. To ni bil oddaljeni napad; zahteval je, da je bila zlonamerna aplikacija že v vašem telefonu, običajno prenesena iz nezanesljivih virov.

Vendar pa obstaja nekaj še bolj kritičnega: možnost upravljanja gesel in metod preverjanja pristnosti . Prebrisan napadalec bi lahko registriral svoj dostopni ključ za vaš račun. To je resen problem, saj bi imel napadalec še vedno stalno vstopno točko do vašega službenega računa, tudi če izbrišete zlonamerno aplikacijo ali spremenite geslo.

Vodnik za preživetje in odpravljanje pogostih napak

Prvi in ​​najnujnejši korak je posodobitev aplikacije na različico 6.2606.4246 ali novejšo prek trgovine Google Play. Če delate v podjetju, je ključnega pomena, da IT ekipa to posodobitev namesti z uporabo storitve Intune, da prepreči širjenje ranljivih mobilnih naprav.

Poleg varnostnih težav se mnogi uporabniki srečujejo z vsakodnevnimi težavami, ki so lahko frustrirajoče. Tukaj je nekaj hitrih rešitev:

• Težave s skeniranjem QR kod: Če ne morete dodati računa, preverite, ali imate najnovejšo različico aplikacije, saj imajo starejše različice pogosto težave z združljivostjo.
• Obvestila, ki potečejo: To se običajno zgodi, če ura telefona ni sinhronizirana. Nastavite sistemski čas v samodejnem načinu in znova zaženite računalnik.
• Neaktivni ali sivi računi: Ne skrbite, če vidite sive ikone; to so običajno računi, ki so jih ustvarile druge aplikacije za enotno prijavo in ne potrebujejo upravljanja.
• Napake pri root dostopu ali jailbreaku: Microsoft bo od leta 2026 naprej blokiral uporabo profesionalnih poverilnic na napravah s skrbniškim dostopom za okrepi varnost.

Kako se izogniti prometnemu zastoju, če izgubite dostop

Včasih uporabnik izgubi dostop do svojega računa, ker je njegov telefon pokvarjen ali izgubljen in ne more prejeti kode. Za rešitev te težave je najboljša rešitev dostop do profila organizacijskega računa, odhod v razdelek za dodatno varnostno preverjanje in odstranitev povezave do starega overitelja, da nastavite novega.

Če naletite na sporočilo o napaki, da ste zahtevali preveč kod, nimate druge izbire, kot da počakate 24 ur . To je obrambni mehanizem sistema za preprečevanje napadov z grobo silo, čeprav je lahko frustrirajoče, ko se vam mudi z delom.

Koraki za sistemske in varnostne skrbnike

Za tiste, ki upravljajo infrastrukturo, zgolj posodabljanje aplikacije ni dovolj. Priporočljivo je pregledati dnevnike Entra ID, da odkrijejo morebitne sumljive vnose gesel ali naprave FIDO2, ki jih zaposleni ne prepozna. Če obstaja kakršen koli dvom, je najboljši ukrep preklic vseh sej in osvežitev žetonov, s čimer se uporabnik prisili k ponovni avtentikaciji.

Ključnega pomena je blokirati namestitev aplikacij iz neznanih virov v delovnih profilih. Protivirusna programska oprema pomaga, vendar je prava obramba ohranjanje aktivne zaščite Google Play Protect in zagotavljanje, da je posrednik za preverjanje pristnosti vedno posodobljen, saj je to najšibkejši člen v verigi mobilne identitete.

Posodabljanje aplikacije Microsoft Authenticator je edini način za odpravo varnostne vrzeli, ki je omogočala krajo žetonov z lažnim predstavljanjem korporativnih aplikacij. Združitev posodobitve na popravljeno različico s pregledom registriranih načinov prijave in ustreznimi nastavitvami časa in obvestil v napravi bo zagotovila, da bo dostop do storitev Microsoft 365 ostal varen in brez tehničnih težav.