Microsoft Authenticator Android 版讓無權限惡意 app竊取企業帳號 token

發生了什麼

想像你的 Android 手機上有 Microsoft Authenticator，用來登入公司的 Teams、Outlook 與 OneDrive。有一天，你安裝了一個看起來無害的 app——可能是手電筒、天氣預報、或遊戲。這個 app 沒有要求任何權限，你以為它很安全。

但這個 app 在背景做了一件事：它啟動 Authenticator 的一個元件，告訴 Authenticator「我是 Teams，請給我登入 token」。Authenticator 信了，檢查裝置上 Teams 的簽章（因為真正的 Teams 已安裝），驗證通過，然後把企業帳號的 token 給了這個惡意 app。

現在，這個 app 可以讀你的公司郵件、存取你的 OneDrive 檔案、查看你的行事曆，甚至用你的名義發送郵件。

2026 年 9 月，Microsoft 修補了 Authenticator for Android 的 CVE-2026-80097 漏洞，CVSS 評分 8.6（重要等級）。這個漏洞讓裝置上的惡意 app 可以在無需任何權限的情況下，偽裝成信任的 Microsoft app，竊取企業帳號的登入 token。

來源：本文整理自 The Hacker News 於 2026 年 10 月 27 日發布的報導，原始研究來自安全公司 Enclave 的研究員 Ofek Levin，技術細節於 2026 年 10 月 23 日公開。原文連結，原文發布日期為 2026 年 10 月 27 日。

Authenticator 的 Broker 角色

在 Android 上，Microsoft Authenticator 不只是顯示六位數的 TOTP 驗證碼。它還扮演 broker（中介者） 角色：

當 Teams、Outlook 或其他 Microsoft app 需要讓使用者登入時，這些 app 不會自己處理登入流程，而是向 Authenticator 請求。Authenticator 處理登入後，會發出一個 token（登入憑證） 給請求的 app，證明「這個使用者已經登入」。

因為 broker 控制整個企業帳號的存取權限，它應該非常小心地確認「哪個 app 在請求 token」。

漏洞：惡意 app 可以偽裝成 Teams

這個漏洞的核心問題是，Authenticator 沒有正確驗證「誰在請求 token」。

任何 app 都能啟動 AccountChooserActivity

Authenticator 暴露了一個元件，名為 AccountChooserActivity，裝置上的任何 app 都可以啟動它。當攻擊者的 app 啟動這個元件時，Authenticator 會從攻擊者提供的資料中建立 token 請求，包括攻擊者宣稱自己是哪個 app。

攻擊者的 app 可以說「我是 Teams」，然後 Authenticator 就信了。

簽章驗證沒有擋住攻擊

Authenticator 有一個簽章驗證機制，理應防止這種攻擊。它會查詢被偽裝 app（例如 Teams）的真實簽章，然後確認請求是否符合這個簽章。

但問題是：因為真正的 Teams 已經安裝在裝置上，它的真實簽章確實存在。攻擊者的 app 偽裝成 Teams，Authenticator 查詢到 Teams 的簽章，驗證「通過」。

Authenticator 可以看到實際發出請求的是哪個 app，但它沒有用這個資訊來決定是否發出 token。

竊取的 token 可以存取什麼？

Enclave 的測試顯示，偽裝成 Teams 並請求 Microsoft Graph token，可以取得以下權限：

• 讀取與發送郵件（read and send mail）
• 讀寫檔案（read and write files）
• 讀寫行事曆（read and write calendars）

Microsoft 的描述更籠統：成功的攻擊者可以以登入使用者的身分進行驗證，並存取該使用者的資源。這些 token 適用於裝置上登入 Authenticator 的企業帳號，不適用於其他帳號。

攻擊是否需要使用者互動？

Enclave 與 Microsoft 對於「攻擊是否需要使用者互動」有不同的說法。

Enclave 的測試：無需使用者互動

Enclave 報告指出，他們的概念驗證（proof of concept）可以在無需任何使用者互動的情況下取得 token，只要裝置上有已登入的企業帳號即可。

Microsoft 的說法：需要使用者完成驗證

Microsoft 的公告指出，攻擊需要在裝置上安裝惡意 app，並且需要說服使用者在 Authenticator 中完成驗證流程。Microsoft 的 CVSS 評分也顯示這個漏洞需要使用者互動。

這兩種說法的差異可能來自測試環境的不同，或者 Enclave 的測試使用了已登入的 session，而 Microsoft 假設需要新的登入流程。

漏洞是否已被攻擊？

Microsoft 表示，這個漏洞未被攻擊，在修補前也未公開揭露。Microsoft 將攻擊可能性評為「不太可能」（less likely）。

這個漏洞是 Microsoft 2026 年 9 月 Patch Tuesday 的一部分，不是當月被標記為已遭攻擊的兩個 Windows 漏洞之一。截至 2026 年 10 月 26 日，這個漏洞也未列入美國 CISA 的 Known Exploited Vulnerabilities 清單。

如何修補與偵測

立即更新 Authenticator

修補方式是更新 Microsoft Authenticator for Android 至版本 6.2606.4246 或更新。可以在 Google Play 商店或 Microsoft 的公告中找到更新連結。

企業可以透過 MDM（行動裝置管理） 強制要求最低版本 6.2606.4246。

檢查裝置上的可疑 app

檢視 Android 裝置上最近安裝的 app，特別是：

• 來源不明的 app：不是從 Google Play 安裝的 app
• 權限過多的 app：要求不合理權限的 app
• 無實際功能的 app：手電筒、天氣、遊戲等簡單功能的 app，可能只是偽裝

檢視 Microsoft 365 登入紀錄

在 Microsoft Entra ID（前 Azure AD）的登入紀錄中，檢視來自 Android 裝置的登入：

1. 登入 Azure 入口網站
2. 前往 Microsoft Entra ID → Sign-in logs
3. 篩選「Device OS = Android」
4. 尋找異常的登入時間、地點或行為

若懷疑已被攻擊

如果懷疑 token 已被竊取：

1. 撤銷裝置上的所有 session：在 Microsoft Entra ID 中撤銷使用者的所有 session
2. 重設密碼：強制使用者重設密碼
3. 移除可疑 app：移除裝置上來源不明或可疑的 app
4. 檢視存取紀錄：檢查郵件、檔案與行事曆的存取紀錄，尋找未經授權的操作

你可以學到什麼

站在攻擊者的角度：我不需要要求任何權限，不需要 root 裝置，不需要繞過 Google Play 的檢查。我只要開發一個看起來無害的 app，在背景啟動 Authenticator 的 AccountChooserActivity，偽裝成 Teams 請求 token。Authenticator 會信我，因為它只檢查「Teams 的簽章是否正確」，而不檢查「實際發出請求的是誰」。我拿到 token 後，可以讀受害者的公司郵件、存取 OneDrive、查看行事曆，甚至發送郵件。受害者完全不會察覺。

如果你管理企業 Android 裝置

1. 立即透過 MDM 強制更新：不要等使用者手動更新，透過 MDM 強制要求最低版本 6.2606.4246。
2. 檢視登入紀錄：尋找來自 Android 裝置的異常登入，確認是否已有 token 被竊取。
3. 稽核 app 清單：檢視員工裝置上已安裝的 app，移除來源不明或可疑的 app。
4. 教育員工：提醒員工只從 Google Play 安裝 app，並警惕無需權限的 app（這類 app 可能利用類似漏洞）。
5. 準備事件回應流程：如果發現 token 被竊取，準備好撤銷 session、重設密碼、移除 app 的流程。

這個漏洞證明：**即使不要求任何權限，惡意 app 仍可能竊取企業帳號的存取權限。**更新 Authenticator，稽核裝置上的 app，不要讓一個無害的手電筒 app 成為入侵的起點。