Microsoft Authenticatorに存在する深刻度の高い脆弱性を悪用すると、悪意のあるAndroidアプリが職場アカウントの認証トークンを窃取し、企業メールやファイルなどの機密情報が流出する可能性がある。
CVE-2026-80097として追跡されているこの脆弱性のCVSSスコアは8.6で、6.2606.4246未満のAndroid版Microsoft Authenticatorが影響を受ける。セキュリティ研究者は、悪意のあるAndroidアプリがインストール済みのMicrosoftアプリになりすまし、サインイン済みの職場アカウントに関連付けられた認証トークンを取得できることを実証した。
Microsoftはすでにこの脆弱性を修正しているが、古いバージョンを実行しているAndroid端末は依然として危険にさらされる可能性がある。今回の調査結果は、多要素認証（MFA）が有効になっていても、攻撃者が認証ソフトウェアの弱点を悪用して企業リソースにアクセスできることを浮き彫りにしている。
Microsoft Authenticatorの脆弱性で職場アカウントのトークンが流出
セキュリティ研究者Ofek Levinは、 Enclaveの調査報告書で脆弱性の詳細を明らかにした。10月23日に公開された。
AuthMaskと呼ばれるこの攻撃は、他のアプリケーションからの認証要求を処理するMicrosoft Authenticatorのアイデンティティーブローカーの弱点を悪用した。研究者は、権限を一切宣言していないAndroidアプリでも、Teamsなどのインストール済みMicrosoftアプリになりすまし、サインイン済みの職場アカウントに関連付けられた認証トークンを要求できることを発見した。
この脆弱性は、要求元アプリの認証が適切に行われていなかったことに起因する。要求を開始したアプリを確実に検証する代わりに、Authenticatorは要求そのものに含まれるアイデンティティー情報を信頼していた。そのため、信頼されていないアプリが正規のMicrosoftサービスを装うことが可能になった。
Enclaveによると、同社のテストで悪用を成功させるには、Android端末にMicrosoft Authenticatorがインストールされ、職場アカウントにサインインしている必要があった。研究者は、ユーザーによる追加操作なしでトークンを取得できたと報告している。
ただし、Microsoftが公表したCVSS評価では、ユーザーの操作が必要とされている。公開されている資料では、Microsoftの評価とEnclaveの調査結果の違いについて説明されていない。
この脆弱性は Microsoftのセキュリティアドバイザリに記載されており、CVSSスコアは8.6、分類はCWE-287「不適切な認証」となっている。
この脆弱性がMicrosoft 365アカウントを危険にさらす仕組み
攻撃の標的となったのは、エクスポートされたAndroidアクティビティーcom.microsoft.identity.client.AccountChooserActivityだった。
Androidアプリケーションは、他のアプリケーションから起動できるアクティビティーを公開できる。今回のケースでは、影響を受けたアクティビティーが、呼び出し元とされるアプリケーションの情報を含む認証要求を処理していた。
研究者は、要求元アプリが複数の重要なアイデンティティーフィールドを制御できることを発見した。これには、申告されたパッケージ名、クライアントID、リダイレクトURI、ユーザー識別子が含まれる。
Authenticatorは署名に関する検証チェックを実行していたものの、その処理は要求内で申告されたアプリケーションのアイデンティティーに依存していた。
研究者のテストでは、悪意のあるアプリケーションがインストール済みのMicrosoftアプリになりすまし、Authenticatorが実際の呼び出し元ではなく、申告されたアプリケーションのアイデンティティーを検証していたため、検証チェックを通過した。
要求が成功すると、Authenticatorは認証情報を悪意のあるアプリケーションに返す可能性があった。
研究者は、返されたデータに次の情報が含まれる可能性を実証した。
- アクセストークン：特定のサービスやリソースへのアクセスを許可する資格情報。
- リフレッシュトークン：アプリケーションが追加のアクセストークンを取得できる可能性がある資格情報。
- IDトークン：サインイン済みユーザーを識別する認証情報。
- クライアント情報：認証済みアカウントとアプリケーションに関連する詳細情報。
影響はMicrosoft Authenticator自体にとどまらない可能性がある。
研究者はMicrosoft Teamsになりすますことで、Microsoft 365サービスへのアクセスに使われるAPIであるMicrosoft Graphに関連付けられた委任権限を取得した。
これらの権限には、Mail.ReadWrite、Mail.Send、Files.ReadWrite.All、Calendars.ReadWrite、ChatMessage.Send、Sites.ReadWrite.Allが含まれていた。
これらの権限により、影響を受けた職場アカウントに関連するメール、ファイル、カレンダー、一部のTeamsおよびSharePoint操作にアクセスできる可能性がある。ただし、実際の範囲は付与された権限と適用されるアクセス制御に左右される。
研究者はさらに、Microsoft Authenticator自身のクライアントになりすますことで、UserAuthenticationMethod.ReadWrite、Passkey.Create、Passkey.Deleteなどの認証管理権限も取得した。
これらの権限により、認証方式が不正に変更されるリスクが高まる。ただし、公開された調査では、研究者が実際にパスキーを作成・削除したり、永続的なアカウントアクセスを確立したりしたことは実証されていない。
重要なのは、盗まれたトークンが、なりすまされたアプリケーションに利用可能な権限の範囲内で、影響を受けた職場アカウントに関連するリソースへのアクセスを可能にする点だ。この攻撃によって、端末所有者に関連するすべてのMicrosoftアカウントが自動的に流出するわけではない。
今回の調査結果は、ユーザーがMFAを有効にしていても、モバイル認証ブローカーの弱点によって機密性の高い企業リソースが危険にさらされる可能性を示している。
影響を受けるAndroid端末はどれか
Android版Microsoft Authenticatorの6.0.0以上、6.2606.4246未満のバージョンが影響を受ける。
Microsoftは2026年9月8日にセキュリティアドバイザリを公開し、この脆弱性の修正をリリースした。続いてEnclaveが10月23日、AuthMask攻撃の技術的詳細を公表した。
影響を受ける環境と修復に関する情報を以下にまとめる。
項目 | 情報 |
|---|---|
| 脆弱性 | CVE-2026-80097 |
| 影響を受ける製品 | Android版Microsoft Authenticator |
| CVSSスコア | 8.6（高） |
| 脆弱性の種類 | CWE-287、不適切な認証 |
| 影響を受けるバージョン | 6.0.0以上、6.2606.4246未満 |
| 修正版バージョン | 6.2606.4246 |
| 攻撃要件 | 影響を受けるAndroid端末に悪意のあるアプリがインストールされ、実行されていること。追加のユーザー操作についてはMicrosoftとEnclaveの見解が異なる |
| 修復方法 | Microsoft Authenticatorを更新 |
攻撃には、影響を受けるAndroid端末に悪意のあるアプリケーションがインストールされ、実行されている必要がある。まずその足掛かりを確立しなければ、攻撃者が遠隔からトークンを盗むことはできない。
ただし、Androidの権限を必要としない点は重大だ。
通常、アプリケーションは端末の機密機能へのアクセスを要求するため、ユーザーや管理者が不審な挙動を見つける機会が生まれる。今回のケースでは、研究者が、悪意のあるアプリケーションがそうした権限を要求せずに認証プロセスの脆弱性を悪用できることを実証した。
Microsoft Authenticatorの脆弱性は悪用されたのか
Enclaveは、CVE-2026-80097が管理されたテスト環境で悪用可能であることを実証した。ただし、公開された調査では、現実世界で確認された攻撃は特定されていない。
だからといって、悪用が一度も起きていないと断定できるわけではない。脆弱なバージョンを実行している組織は、引き続きMicrosoft Authenticatorの更新を優先すべきだ。
Microsoft Authenticatorのユーザーが今すべきこと
MicrosoftはCVE-2026-80097を修正済みだが、組織はAndroid端末を使う従業員が修正版をインストールしていることを確認すべきだ。
更新を受け取っていない端末は、特に従業員が個人所有のスマートフォンや管理が一貫していないスマートフォンからMicrosoft 365にアクセスする環境では、依然として危険にさらされる可能性がある。
セキュリティチームは、次の対策を優先すべきだ。
- Microsoft Authenticatorを更新する。Google Playから利用可能な最新バージョンをインストールし、インストール済みのバージョンが6.2606.4246以降であることを確認する。
- 管理対象のAndroid端末を監査する。モバイルデバイス管理ツールを使って古いインストールを特定し、セキュリティ更新が適用されていることを確認する。
- アプリケーションのインストールポリシーを見直す。必要に応じて信頼できないアプリケーションソースを制限し、企業端末にインストールされた不審なアプリケーションを調査する。
- Microsoft 365のアクティビティーを監視する。Microsoft Entraのサインイン記録、関連するMicrosoft Graphのアクティビティー、認証方式への予期しない変更を確認し、アカウントへの不審なアクセスの兆候を探す。
- 侵害の疑いを調査する。トークン窃取の証拠がある場合は、適切なセッションまたはトークンの失効、認証方式の確認、端末の修復など、組織のインシデント対応手順に従う。
- モバイルアクセス制御を強化する。管理されていない、または侵害されたエンドポイントによるリスクを抑えるため、端末のコンプライアンス要件と条件付きアクセスのポリシーを検討する。
組織は、更新をインストールすれば脆弱性には対処できるものの、修復前に盗まれた可能性のある認証トークンが必ず無効になるわけではないことも認識しておくべきだ。
侵害が疑われる場合、セキュリティチームはアプリケーションの更新だけに頼らず、露出した可能性のあるセッションと資格情報を調査すべきだ。
この脆弱性が企業セキュリティにとって重要な理由
CVE-2026-80097は、他のソフトウェアに代わって認証を管理するアプリケーションに関する、より広範なリスクを示している。
Microsoft Authenticatorは組織によるアカウント保護を支援するよう設計されているが、認証ブローカーとしての役割は、企業のアイデンティティー基盤における機密性の高いコンポーネントにもしている。認証ブローカーが資格情報を要求するアプリケーションのアイデンティティーを検証できなければ、攻撃者は本来正規の認証プロセスを悪用できる。
AuthMaskの調査は、従業員にパスワードの開示を求めることなく、その弱点によって企業リソースが露出する可能性を示している。影響を受けたAndroid端末上の悪意のあるソフトウェアは、脆弱な認証プロセスを通じてトークンを取得し、認証済みの職場アカウントを脅かす可能性がある。
セキュリティ管理者にとって直ちに優先すべきことは、影響を受けるAndroid端末が最新の状態であることを確認し、不審なアカウント活動の兆候を調査することだ。より大きな教訓は、MFAが依然として重要なセキュリティ対策である一方、認証トークンを扱うアプリケーションと端末を保護することも同じく重要だという点にある。
モバイルアプリケーションの更新を怠る組織は、従業員が確立されたアカウントセキュリティの慣行に従っていても、機密性の高いMicrosoft 365リソースを危険にさらす可能性がある。
MFAの保護を回避してMicrosoft 365アカウントを侵害する攻撃については、 BigBear 2.0が258組織で認証済みセッションを盗んだ件を取り上げた記事をお読みいただきたい。