Aplikasi Hasad Boleh Curi Token Akaun Kerja Menerusi Microsoft Authenticator Android — Kemas Kini Segera Ke Versi 6.2606.4246
Penyelidik keselamatan Enclave mendedahkan kelemahan dalam Microsoft Authenticator untuk Android yang membolehkan aplikasi hasad tanpa sebarang kebenaran Android menyamar sebagai aplikasi Microsoft yang sudah dipasang — seperti Teams — dan menerima token log masuk bagi akaun kerja mangsa. Kelemahan itu, yang digelar AuthMask, sudah ditampal oleh Microsoft, tetapi pengguna yang masih menggunakan versi lama perlu mengemas kini aplikasi mereka segera.
Kelemahan itu direkodkan sebagai CVE-2026-80097, iaitu kelemahan elevation of privilege dalam Microsoft Authenticator, dengan skor CVSS 8.6 (High) dan penarafan Important oleh Microsoft. Ia menjejaskan semua versi Android sebelum 6.2606.4246, dan dibaiki dalam versi 6.2606.4246 yang dikeluarkan pada Julai 2026. Microsoft menerbitkan penasihat keselamatannya pada 8 September 2026, sebelum Enclave menerbitkan laporan teknikal penuh pada 23 Oktober lalu.
Punca masalahnya terletak pada peranan Authenticator sebagai broker log masuk. Daripada setiap aplikasi Microsoft log masuk secara berasingan, Authenticator log masuk sekali dan menyerahkan token kepada aplikasi lain seperti Teams. Menurut Enclave, Authenticator mendedahkan satu aktiviti Android yang boleh dilancarkan oleh mana-mana aplikasi pada telefon — aktiviti itu menerima permintaan broker yang mengandungi identiti yang didakwa oleh pemanggil, termasuk nama pakej, client ID, redirect URI dan skop yang diminta. Masalahnya, Authenticator mengesahkan identiti yang didakwa itu, bukan identiti pemanggil sebenar — walaupun ia sebenarnya tahu pakej mana yang membuat panggilan tersebut.
Dalam ujian Enclave, aplikasi hasad tanpa kebenaran itu berjaya menerima token akses, token refresh dan token ID. Dengan menyamar sebagai Teams dan meminta akses Microsoft Graph, token berkenaan membuka peti mel, fail, kalendar dan laman SharePoint mangsa, selain boleh menghantar mesej Teams bagi pihak mangsa. Dengan menyamar sebagai klien Authenticator sendiri pula, penyerang boleh mencipta dan memadam passkey pada akaun itu — bermakna penyerang boleh terus masuk walaupun aplikasi hasad tersebut sudah dibuang.
Perlu dijelaskan bahawa kedua-dua pihak tidak bersetuju sepenuhnya tentang syarat serangan ini. Microsoft menyatakan penyerang perlu memasang aplikasi hasad dan meyakinkan pengguna melengkapkan aliran pengesahan dalam Authenticator, dan menilai eksploitasi sebagai belum berlaku serta kurang berkemungkinan. Enclave pula mendakwa tiada interaksi pengguna diperlukan selain aplikasi hasad dipasang dan akaun kerja dilog masuk. Walau apa pun perbezaan itu, perkara yang tidak dipertikaikan ialah versi yang ditampal sudah tersedia — dan itulah yang penting bagi pengguna.
Apa yang perlu anda buat sekarang: buka Google Play Store, cari Microsoft Authenticator dan kemas kini jika ada kemas kini tersedia, kemudian pastikan versinya 6.2606.4246 atau lebih baharu — anda boleh menyemaknya dalam tetapan aplikasi atau bahagian About pada penyenaraian Play Store. Pentadbir IT pula perlu memastikan peranti terurus organisasi berada pada versi minimum tersebut. Seperti mana-mana amaran keselamatan lain, elakkan memasang aplikasi dari sumber tidak dikenali atau sideload APK yang meragukan — serangan ini bermula dengan aplikasi hasad yang berada pada telefon mangsa, sama seperti laman penipuan yang menyasarkan pembeli peranti baharu baru-baru ini.
Insiden ini mengingatkan bahawa Authenticator bukan sekadar penjana kod pengesahan — ia memegang kunci kepada identiti kerja anda, dan bertindak sebagai orang tengah yang dipercayai oleh keseluruhan ekosistem Microsoft pada telefon itu. Apabila orang tengah itu sendiri tersilap menilai siapa yang bercakap dengannya, kesannya melangkaui satu aplikasi sahaja. Kemas kini mengambil masa kurang seminit — dan ia menutup lubang ini sepenuhnya.