В Microsoft Authenticator для Android нашли уязвимость с доступом к рабочим аккаунтам

Исследователи компании Enclave обнаружили в Microsoft Authenticator для Android уязвимость, которая могла позволить любому приложению на устройстве получить доступ к рабочей учётной записи пользователя. Вредоносной программе не требовались специальные разрешения, а владельцу смартфона не нужно было подтверждать подозрительные действия.

На Android Authenticator используется не только для многофакторной аутентификации, но и как брокер учётных данных. Когда Teams, Outlook или другой сервис Microsoft запрашивает вход, приложение обращается к Authenticator, который выдаёт токен — цифровое подтверждение авторизации.

Исследователь Enclave Офек Левин выяснил, что один из компонентов Authenticator был доступен для вызова любому установленному приложению. При обработке запроса приложение не проверяло надёжно, кто именно к нему обратился, и доверяло данным, которые программа сообщала о себе.

В результате вредоносное приложение могло выдать себя за Teams или другой доверенный сервис и запросить токены, предназначенные для него. Authenticator сравнивал сведения из запроса с характеристиками настоящего приложения, установленного на устройстве, однако эти характеристики доступны для чтения другим приложениям. При этом система не использовала идентичность фактического отправителя как полноценное условие доверия.

Какие возможности давала атака

В ходе тестирования исследователи получили токены, связанные с рабочей учётной записью, подключённой к Authenticator. Они позволяли читать и отправлять письма, просматривать и изменять файлы, календарные записи и содержимое сайтов SharePoint, а также отправлять сообщения в Teams от имени пользователя.

Кроме того, приложение могло имитировать сам Authenticator и менять методы входа в учётную запись. В частности, злоумышленник мог создавать или удалять ключи доступа — passkeys. Если атакующий добавил собственный ключ, он мог сохранить доступ к аккаунту даже после удаления вредоносного приложения со смартфона.

Для атаки на устройство всё же требовалось установить вредоносную программу, поэтому злоумышленнику нужно было убедить пользователя сделать это. Однако после установки вредоносное приложение могло работать незаметно: Authenticator не показывал предупреждений, не запрашивал подтверждений и не сообщал о подозрительной активности.

Enclave передала сведения Microsoft в рамках программы ответственного раскрытия. Компания подтвердила проблему и выпустила исправление, зарегистрированное как CVE-2026-80097. Уязвимости присвоили оценку 8,6 по шкале CVSS; информация об исправлении была опубликована 8 сентября.

Что нужно сделать пользователям

Проблема затрагивает все версии Microsoft Authenticator для Android, выпущенные до версии 6.2606.4246. Пользователям следует обновить приложение через Google Play до версии 6.2606.4246 или более новой. Администраторам корпоративных устройств рекомендуется проверить политики MDM и убедиться, что они требуют установки как минимум этой версии.

Ранее Microsoft также предупредила об изменении резервного копирования ключей двухэтапной проверки в Android-версии Authenticator. С января 2027 года для создания таких резервных копий потребуется использовать Google One.