Microsoftは、Android向け認証アプリ「Microsoft Authenticator」の欠陥を修正したと明らかにしました。この欠陥を突くと、特別な権限を一切求めない悪意あるアプリが、Teamsなどの信頼できるMicrosoft製アプリになりすまし、被害者の仕事用アカウントの「トークン」を集められたとされています。管理番号は「CVE-2026-80097」です。
トークンとは、ログインに成功したあとにサービスが発行する「入場許可証」のようなものです。これを手に入れた攻撃者は、パスワードを知らなくても、場合によっては多要素認証を経なくても、本人としてサービスにアクセスできてしまうことがあります。そのため、トークンの盗難はパスワードの流出と同じくらい深刻に扱われます。
今回のセキュリティホールの怖いところは、悪意あるアプリが「権限なし」で動く点です。インストール時に怪しい許可を求められないため、利用者が危険に気づきにくくなります。
欠陥はすでにアプリの更新で修正されています。仕事でMicrosoft Authenticatorを使っているAndroidユーザーは、Google Playでアプリが最新版になっているか確認してください。あわせて、提供元の分からないアプリを入れない、使っていないアプリを整理するといった基本的な対策も有効です。会社の管理者は、従業員の端末で更新が行き渡っているかを確認すると安心です。