Microsoft Authenticator の脆弱性、権限ゼロの Android アプリが認証トークンを窃取可能に

Android 版 Microsoft Authenticator に深刻度の高い脆弱性が見つかりました。悪用されると、Android の権限を一切持たない悪意あるアプリが、信頼された Microsoft アプリになりすまし、被害者がサインイン中の職場アカウントの認証トークンを盗み出す恐れがあります。

脆弱性評価ツール

この脆弱性は CVE-2026-80097 として追跡されており、6.2606.4246 より前のバージョンの Microsoft Authenticator が影響を受けます。Microsoft はすでにパッチを公開しています。

Microsoft Authenticator の脆弱性

Enclave のセキュリティ研究者らが発見したところによると、問題の原因は、外部に公開（エクスポート）されていた Android のアクティビティ「com.microsoft.identity.client.AccountChooserActivity」にありました。

このアクティビティはアプリの外部からアクセスできたため、同じ端末上の別のアプリがこれを起動し、Authenticator のブローカーサービスを通じてトークンを要求できました。

この脆弱なワークフローは、要求元のアプリが提示する ID 情報をそのまま信頼していました。具体的には、申告されたパッケージ名、クライアント ID、リダイレクト URI、スコープに加え、呼び出し元の UID まで含まれていました。

Authenticator はリダイレクト URI の検証こそ行っていましたが、確認していたのは、申告されたアプリのパッケージに対応する署名由来のリダイレクト URI だけでした。実際の呼び出し元アプリがそのパッケージと一致するかどうかは確認していませんでした。

この見落としにより、攻撃者は Microsoft Teams など、端末にインストールされた Microsoft アプリになりすますことができました。正規アプリのインストール済み署名から期待されるリダイレクト URI を組み立てれば、検証を通過できてしまいます。

研究によると、Authenticator は Android の getCallingActivity() の仕組みで本当の呼び出し元を特定できるにもかかわらず、その情報をセキュリティ判断に使っていませんでした。

要求が受理されると、Authenticator はアクティビティの結果として、トークンのデータを要求元アプリに返します。研究者らによれば、この返されるブローカーの応答には、アクセストークン、リフレッシュトークン、ID トークン、クライアント情報が平文で含まれていました。悪意あるアプリはこれらを解析して再利用できます。

検証では、Microsoft Teams になりすまして Microsoft Graph リソースへのアクセスを要求したところ、委任されたアクセス許可が得られました。この許可があれば、メールボックス、予定表、ファイル、SharePoint、チャットに関する操作が可能になるとされています。

研究者らはさらに、Teams バックエンドのクライアントや Authenticator 自身のクライアント ID になりすましても、トークンを発行できることを実証しました。いずれもアクセス許可のスコープは異なります。

Microsoft は CVE-2026-80097 を権限昇格の脆弱性に分類し、CVSS スコアを 8.6、CWE を CWE-287（不適切な認証）としました。Microsoft は報告を認めて修正を公開し、2026年9月8日に脆弱性情報を公表しています。

Android 版 Microsoft Authenticator を利用する組織は、展開済みの端末がバージョン 6.2606.4246 以降で動作していることを確認してください。モバイル脅威検知チームも、管理対象の Android 端末で、想定外のトークン使用、不審な Microsoft Graph のアクティビティ、不正なアプリの挙動がないか監視する必要があります。

平均復旧時間（MTTR）を21分短縮し、被害が出る前にサイバー脅威を阻止します。ANYRUN のサンドボックスを SOC に導入しましょう。