Gabim sigurie në Microsoft Authenticator për Android

Imagjinoni sikur telefoni juaj është çelësi kryesor i jetës suaj të punës, por rezulton se ai çelës ka një çarje që dikush mund ta shfrytëzojë për të hyrë në shtëpinë tuaj pa e vënë re ju. Epo, kjo është në thelb ajo që ndodhi me Microsoft Authenticator në Android , ku një defekt serioz sigurie lejoi aplikacione keqdashëse të depërtonin në sistem dhe të vidhnin aksesin në llogaritë e kompanisë.

Nuk është shkak për panik, por është shkak për shqetësim. Problemi qëndron në mënyrën se si aplikacioni menaxhoi identitetin e mjeteve të tjera të Microsoft-it, duke i lënë derën hapur çdo aplikacioni keqdashës që të imitojë Teams ose Outlook për të vjedhur token-e aksesi dhe për të përgjuar email-et, kalendarët dhe skedarët privatë.

Komplikimet teknike të vendimit CVE-2026-80097

Për ata prej jush që u pëlqejnë detajet teknike, problemi ishte se Authenticator po përdorte një aktivitet të quajtur AccountChooserActivity që ishte shënuar si i eksportuar. Kjo do të thoshte se çdo aplikacion i instaluar në telefon mund ta niste atë. E meta kritike ishte se aplikacioni nuk po verifikonte në të vërtetë se kush po bënte kërkesën; ai thjesht po shikonte nënshkrimin e paketës që pretendonte të ishte thirrësi.

Meqenëse shumica prej nesh e kanë të instaluar Teams, aplikacioni keqdashës duhej vetëm të pretendonte se ishte Teams . Duke vepruar kështu, Authenticator pa që nënshkrimi i Teams ishte i vlefshëm në pajisje dhe, pa bërë pyetje të mëtejshme, lëshoi ​​tokenët e aksesit. Gjëja më shqetësuese është se kjo mund të ndodhte pa parë përdoruesi ndonjë njoftim ose pa pasur nevojë të miratojë ndonjë gjë në ekran.

Me çfarë rreziqesh të vërteta përballen përdoruesit?

Nëse dikush arrinte të instalonte një aplikacion mashtrues në pajisjen tuaj, ai do të fitonte akses të plotë të deleguar. Ai mund të lexonte dhe të dërgonte email-e , të modifikonte skedarët e SharePoint, të kishte akses në kalendarë dhe madje të dërgonte mesazhe nëpërmjet Teams ndërsa imitonte personin tuaj. Ky nuk ishte një sulm në distancë; kërkonte që aplikacioni keqdashës të ishte tashmë në telefonin tuaj, zakonisht i shkarkuar nga burime të pabesueshme.

Por ka diçka edhe më kritike: aftësia për të menaxhuar çelësat e kalimit dhe metodat e vërtetimit . Një sulmues i zgjuar mund të ketë regjistruar çelësin e vet të aksesit në llogarinë tuaj. Ky është një problem serioz sepse, edhe nëse e fshini aplikacionin keqdashës ose ndryshoni fjalëkalimin tuaj, sulmuesi do të ketë ende një pikë hyrjeje të përhershme në llogarinë tuaj të punës.

Udhëzues mbijetese dhe zgjidhje problemesh për gabimet e zakonshme

Hapi i parë dhe më urgjent është përditësimi i aplikacionit në versionin 6.2606.4246 ose më të lartë nëpërmjet Google Play Store. Nëse punoni për një kompani, është thelbësore që ekipi i IT-së ta detyrojë këtë përditësim duke përdorur Intune për të parandaluar qarkullimin e pajisjeve mobile të cenueshme.

Përveç problemeve të sigurisë, shumë përdorues hasin probleme të përditshme që mund të jenë frustruese. Ja disa zgjidhje të shpejta:

• Probleme me skanimin e kodeve QR: Nëse nuk mund të shtoni një llogari, sigurohuni që keni versionin më të fundit të aplikacionit, pasi versionet më të vjetra shpesh kanë probleme me përputhshmërinë.
• Njoftimet që skadojnë: Kjo zakonisht ndodh kur ora e telefonit tuaj nuk është e sinkronizuar. Vendosni koha e sistemit në modalitetin automatik dhe rinisni kompjuterin.
• Llogari joaktive ose gri: Mos u shqetësoni nëse shihni ikona gri; ato zakonisht janë llogari të krijuara nga aplikacione të tjera për hyrje të vetme dhe nuk kanë nevojë për menaxhim.
• Gabime të Root ose Jailbreak: Duke filluar nga viti 2026, Microsoft do të bllokojë përdorimin e kredencialeve profesionale në pajisjet me të drejta root-imi për... forcojnë sigurinë.

Si të dilni nga një bllokim trafiku nëse humbni aksesin

Ka raste kur një përdorues bllokohet jashtë llogarisë së tij sepse telefoni i tij është i prishur ose i humbur dhe ai nuk mund ta marrë kodin. Për të zgjidhur këtë problem, zgjidhja më e mirë është të hyni në profilin e llogarisë së organizatës, të shkoni te seksioni i verifikimit shtesë të sigurisë dhe të hiqni lidhjen për Autentifikuesin e vjetër për të konfiguruar një të ri nga e para.

Nëse hasni mesazhin e gabimit se keni kërkuar shumë kode, nuk keni zgjidhje tjetër veçse të prisni 24 orë . Ky është një mekanizëm mbrojtës i sistemit për të parandaluar sulmet me forcë brutale, megjithëse mund të jetë frustrues kur jeni me nxitim për të kryer gjërat.

Hapat për administratorët e sistemit dhe sigurisë

Për ata që menaxhojnë infrastrukturën, thjesht përditësimi i aplikacionit nuk është i mjaftueshëm. Këshillohet të rishikohen regjistrat e Entra ID për të zbuluar çdo hyrje të dyshimtë të çelësit të kalimit ose pajisje FIDO2 që punonjësi nuk i njeh. Nëse ka ndonjë dyshim, veprimi më i mirë është të anulohen të gjitha seancat dhe të rifreskohen tokenët, duke e detyruar përdoruesin të autentifikohet përsëri.

Është shumë e rëndësishme të bllokoni instalimin e aplikacioneve nga burime të panjohura në profilet e punës. Softueri antivirus ndihmon, por mbrojtja e vërtetë është mbajtja aktive e Google Play Protect dhe sigurimi që ndërmjetësi i vërtetimit të jetë gjithmonë i përditësuar, pasi kjo është hallka më e dobët në zinxhirin e identitetit celular.

Mbajtja e aplikacionit Microsoft Authenticator të përditësuar është e vetmja mënyrë për të mbyllur boshllëkun e sigurisë që lejonte vjedhjen e tokenëve përmes imitimit të aplikacionit të korporatës. Kombinimi i përditësimit të versionit të patch-uar me një rishikim të metodave të hyrjes së regjistruar dhe cilësimeve të duhura të kohës dhe njoftimit të pajisjes do të sigurojë që qasja në shërbimet e Microsoft 365 të mbetet e sigurt dhe pa probleme teknike.