Microsoft Authenticator на Android: як закрити вразливість
Microsoft Authenticator для Android мав уразливість, через яку сторонній застосунок міг отримати токени доступу до робочого облікового запису. Найнеприємніша деталь: у дослідженому сценарії шкідливій програмі не потрібні були навіть дозволи Android. Microsoft уже виправила помилку, але користувачам, які давно не оновлювали Authenticator, варто перевірити його версію.
23 жовтня 2026 року дослідник Ofek Levin оприлюднив технічний опис атаки AuthMask. Сама вразливість CVE-2026-80097 була зареєстрована й опублікована Microsoft раніше — 8 вересня. Тому йдеться не про щойно виявлену незакриту проблему, а про нові подробиці вже виправленого ризику.
Як застосунок без дозволів міг отримати доступ
Authenticator часто сприймають як програму для шестизначних кодів або підтвердження входу. У корпоративному середовищі його роль ширша: він може працювати як посередник авторизації для інших програм Microsoft. Саме цей механізм став слабким місцем.
За даними дослідження Enclave, компонент Android-застосунку приймав запити від інших програм і перевіряв відомості про нібито довіреного клієнта. Проте вирішальна перевірка спиралася на дані, які сам заявник міг підставити у запит. Реальна особа застосунку, що звертався по токен, належним чином не підтверджувалася.
У лабораторному експерименті дослідник змусив Authenticator сприйняти сторонню програму як Microsoft Teams. Після цього вона отримала токени, що дозволяли діяти від імені робочого облікового запису в межах наданих прав. У тесті йшлося, зокрема, про пошту, файли та календар. Це не означає, що кожен телефон із Authenticator автоматично розкривав усі дані: конкретний результат залежав від конфігурації облікового запису та дозволів сервісів.
Кого стосувався ризик
Для описаного сценарію потрібно, щоб на Android-пристрої був установлений уразливий Microsoft Authenticator, у ньому був авторизований робочий або навчальний обліковий запис, а на телефон потрапив сторонній шкідливий застосунок. Це не атака, яку можна провести просто знаючи адресу електронної пошти, і не свідчення того, що всі користувачі сервісу постраждали.
Особливість випадку — відсутність вимоги надавати зловмисній програмі доступ до контактів, файлів чи SMS. Звичайний список дозволів Android не допоміг би помітити саме таку поведінку. Водночас це не скасовує базового захисту: не встановлювати APK із випадкових сайтів, перевіряти походження програм і регулярно встановлювати оновлення.
Опубліковане дослідження демонструє можливість отримати токени в контрольованому середовищі. Підтверджених у використаних джерелах даних про масову експлуатацію помилки або викрадення облікових записів немає. Окремих відомостей про інциденти в Україні також немає, тому пов’язувати вразливість із конкретними українськими компаніями було б безпідставно.
Яка версія вже має виправлення
Microsoft класифікує CVE-2026-80097 як проблему неналежної автентифікації з оцінкою 8,6 бала за CVSS. За повідомленням дослідників та бюлетенем Microsoft Security Response Center, виправлення доступне у Microsoft Authenticator для Android починаючи з версії 6.2606.4246. Старіші версії належать до уразливих.
Практичний висновок простий: потрібно оновити застосунок через Google Play і переконатися, що встановлена версія не нижча за виправлену. На різних смартфонах номер версії можна знайти в системному розділі «Налаштування → Застосунки → Microsoft Authenticator» або у відомостях про програму. Назви пунктів залежать від оболонки Android.
Що зробити користувачеві та адміністратору
Якщо Authenticator використовується для робочої пошти, Teams, OneDrive або інших корпоративних ресурсів, оновлення особливо важливе. Адміністраторам Microsoft Entra доцільно перевірити політики оновлення керованих Android-пристроїв і те, чи не залишилися в організації старі версії застосунку. Це профілактична рекомендація, а не доказ інциденту.
Коли є конкретні ознаки компрометації — наприклад, незнайомі входи чи неочікувані дії з файлами, — слід звернутися до адміністратора, перевірити журнали входу та за потреби відкликати активні сеанси. Самостійно видаляти Authenticator без підготовки небажано: можна втратити зручний спосіб підтвердження входу, особливо якщо резервні методи не налаштовані.
Для особистих акаунтів варто не переносити результати корпоративного експерименту автоматично на всі можливі сценарії використання. Дослідники відтворили проблему саме з робочим обліковим записом і механізмом посередницької авторизації. Точний масштаб впливу на інші конфігурації з цих матеріалів не випливає.
Чому ця історія важлива навіть після виправлення
Двофакторна автентифікація зменшує ризик захоплення акаунта, але не робить будь-який компонент системи невразливим. Токен доступу — це вже видане підтвердження повноважень, тому його викрадення може обійти звичний момент введення пароля або коду. Саме через це безпека застосунку-посередника настільки важлива.
Для власника Android-смартфона немає підстав панікувати чи негайно відмовлятися від Microsoft Authenticator. Натомість є конкретна дія, яка займає кілька хвилин: перевірити оновлення. Якщо телефон належить компанії, варто також з’ясувати, чи керує версіями програм корпоративна ІТ-служба. Оновлений Authenticator залишається корисним інструментом захисту, а ця історія нагадує, чому його самого також потрібно підтримувати в актуальному стані.
Джерела та ілюстрації
Факти: Enclave, технічне дослідження AuthMask від 23.10.2026; Microsoft Security Response Center, CVE-2026-80097; SecurityAlert.ai, дані про виправлену версію; Microsoft Support, офіційне завантаження Authenticator.
Фото на обкладинці: Santeri Viinamäki, Wikimedia Commons, CC BY-SA 4.0, без змін; ілюстративне фото оновлення Android, не Authenticator. Логотип Microsoft: Wikimedia Commons, CC0 1.0; права на торговельну марку зберігаються.
