- Microsoft Authenticatorの重大な脆弱性により、不正なAndroidアプリがユーザー操作なしでMicrosoftのセッショントークンを窃取可能に
- 攻撃者は信頼されたMicrosoftアプリになりすまし、メール、Teamsのデータ、カレンダー、ファイルにアクセスできた
- Microsoftは脆弱性を修正済み。AndroidユーザーにAuthenticatorの即時更新を呼びかけ
Android向けMicrosoft Authenticatorアプリに重大な脆弱性が見つかりました。この脆弱性を悪用すると、悪意あるアプリがほぼあらゆるMicrosoftアプリのセッショントークンを取得し、攻撃者に渡すことができました。
他のAndroidマルウェアとは異なり、このマルウェアは広範な権限を必要としません。被害者がログイン処理を承認する必要もなく、攻撃者が被害者のログイン認証情報を知っている必要もありませんでした。
この脆弱性はEnclaveの研究者が発見したもので、現在はCVE_2026-80097として追跡されています。すでに修正されており、Microsoftはすべてのユーザーに対し、Authenticatorアプリをできるだけ早く更新するよう促しています。
Authenticatorとは何か、どのように悪用されたのか
Authenticatorは、Microsoftの二要素認証（2FA）アプリです。ユーザー本人の認証に使えるだけでなく、他のアプリの認証も仲介します。その際、ユーザーの職場アカウントや関連データへのアクセスを許可するセッショントークンをアプリに発行します。つまり、Microsoft Teamsのような正規アプリは、Authenticatorを介してユーザーの職場アカウントにログインできるわけです。
Enclaveのセキュリティ研究者は、この仕組みがどこまで安全なのかを検証しました。実験の詳細はこのリンク先で公開されています。使用したのは、Microsoftのサービスにログイン済みで、AuthenticatorアプリをインストールしたセットアップのみのシンプルなAndroid端末です。
研究者らは、そこに第三のアプリをインストールしました。このアプリは、一般的なAndroidの基準では悪意あるものとは言えません。広範な権限を要求せず、怪しい外部サーバーにも接続せず、データを外部に送信しようともしません。
このアプリがしたのは、正規のMicrosoft Teamsアプリになりすますことだけです。そのうえでAuthenticatorに認証を求め、データへのアクセスを許可させました。
そのために、パッケージ名、クライアントID、リダイレクトURIといった必要なデータを提示しました。Authenticatorはそのデータが本物であると確認し、アプリにトークンを発行しました。これにより研究者は、メール、Teamsのチャットメッセージ、カレンダーにアクセスできました。さらに、メッセージの変更や送信、ファイルやカレンダー予定の改変、チャットメッセージの送信、一部の認証方法の管理（パスキーの作成や削除）まで可能でした。
管理された環境での実験
なぜこんなことが可能だったのでしょうか。Authenticatorは、アプリが提示したデータが本物かどうかを確認するだけで、データを提示したアプリ自体の正体は確認していなかったようです。つまり、どんなアプリでも「Teamsです。セッショントークンをください」と名乗れば、トークンを受け取れたことになります。
最も深刻なのは、これらの処理がすべてバックグラウンドで行われていた点です。研究者がアプリのログイン試行を承認する必要はなく、そもそも通知さえ届きませんでした。
研究者らは次のように述べています。「権限をまったく持たない一般のAndroidアプリが、インストール済みのMicrosoft純正アプリになりすまし、Microsoft Authenticatorブローカーにそのアプリのトークンを渡させることができると分かりました」。広範な権限の要求は、悪意あるAndroidアプリを見分ける最も有力な手がかりであるため、これは大きな問題です。
幸いEnclaveは、この攻撃を実環境では確認しておらず、管理された環境で再現しました。同様の攻撃が実際に試された形跡はありません。ただ、情報が公になった今、試みる者が現れる可能性は高いでしょう。そのため、Authenticatorのすべてのユーザーは、できるだけ早くアプリを更新することが重要です。
今回の報告で救いがあるとすれば、悪意あるアプリを何らかの方法で標的のAndroid端末にインストールさせる必要がある点です。こうしたアプリがGoogle Playストアに並ぶ可能性は低く、ユーザーが未審査のアプリストアから怪しい.APKファイルをダウンロードしなければ、被害に遭うことはないでしょう。
Enclaveはこの脆弱性をMicrosoft Security Response Centerに報告し、同センターは問題を確認して修正版をリリースしました。影響を受けるのは6.2606.4246より前のバージョンのAndroid向けMicrosoft Authenticatorです。Microsoftは、Google Playストアからバージョン6.2606.4246以降に更新するよう強く呼びかけています。
