認証アプリから通行証が盗まれる。修正版へ更新を

Microsoft AuthenticatorのAndroid版で修正された脆弱性について、Enclaveの研究者が10月23日に詳しい調査結果を公開しました。盗まれるおそれがあったのは、職場のメールやファイルへアクセスするための、トークンという通行証です。問題は修正済みで、AndroidでMicrosoft Authenticatorを使う人は、公式ストアや勤務先の案内から最新版への更新を確認してください。

30秒のまとめ動画。くわしい内容と図解は、下の「Xで記事を読む」から。

30 sec

30秒でわかる、この速報

いつ: 研究の詳報は2026年10月23日。CVEの公開日は9月8日で、問題は修正済み
だれが: Enclaveの研究者Ofek Levin氏らが報告し、Microsoftが修正
なにを: Microsoft AuthenticatorのAndroid版に、相手のアプリを正しく確認しない弱点
どこに関係する: 古い版があるAndroid端末と、そこにサインイン済みの職場アカウント
深刻度: CVE-2026-80097。CVSS 3.1は8.6で、Highに分類
何をする: 最新版を確認し、不審なアプリや操作の心当たりがあれば職場の担当者へ相談

Points

おさえるところ

研究の詳報は2026年10月23日。CVEの公開日は9月8日で、問題は修正済み。Enclaveの研究者Ofek Levin氏らが報告し、Microsoftが修正した
深刻度はCVE-2026-80097。CVSS 3.1は8.6で、Highに分類。Microsoft独自の重大度表示はImportant。8.6は10点満点中の評価で、被害に遭う確率が86％という意味ではない
研究者もJVN iPediaも、影響を受ける版を6.2606.4246より前（未満）と説明。6.2606.4246は修正の基準になる版で、今からその古い修正版を探して入れる必要はない。公式経路で提供される最新の更新を確認する
Authenticatorは、同じ端末の対応アプリでサインインの状態を共有する仲介役（ブローカー）も担う。悪意あるアプリが正規アプリを名乗れてしまい、Teamsになりすました検証が具体例。名乗った情報と、実際に頼んできたアプリが結び付いていなかった
狙われたのは、メール、ファイル、予定表などへアクセスするためのトークン。アクセストークンはサービスを利用するために提示する情報で、更新トークンは新しいアクセストークンを取得するために使われる
「権限ゼロ」は、悪意あるアプリが特別なAndroid権限を要求しなくてもよかった、という意味。端末内の悪意あるアプリ、古いAuthenticator、サインイン済みの職場アカウントといった条件は残り、「前提なし」ではない
Microsoftが修正版を用意したことと、手元の端末へ修正版が入ったことは別。修正版が入ったことと、過去に不正利用がなかったことも別
Google Playの公式アプリは無料で、アプリの更新に専用の追加購入は案内されていない。会社での調査や端末管理、外部の保守対応には、契約や作業に応じた費用が生じる場合がある
多要素認証を無効にしたり、Authenticatorをいきなり削除したりしない。仲介アプリの削除でアカウントやトークンが端末から除かれ、再サインインが必要になり得る
今日やることは3STEP。自分の対象を整理する、正規の経路で最新版を確認する、心当たりがあれば組織の窓口へ相談する。筆者は攻撃を再現したり、実際の端末を更新したり、被害の有無を調査したりしていない