Android版Authenticatorのトークン取得問題を解析―修正版は6.2606.4246

Enclaveは2026年10月23日、Android版Microsoft Authenticatorから業務アカウントのトークンを取得できた問題「AuthMask」の技術報告を公開しました。CVE-2026-80097として9月8日に公表・修正済みで、影響するのは6.2606.4246より前の版です。

Authenticatorは認証コードの表示だけでなく、Teamsなどへログイン済みであることを示すトークンを渡す役割も担います。今回の検証には、Authenticatorに業務アカウントでサインインした端末と、なりすまし先のMicrosoft製アプリ、不正なアプリのインストールが必要です。

原因は要求元の確認にありました。別アプリから呼べる画面が、相手の申告したアプリ名と署名情報の整合性を確認する一方、実際の呼び出し元との一致を確かめていませんでした。研究者は特別なAndroid権限を持たないアプリで、メール・ファイル・予定表にアクセスするトークンの取得を実証しています。

業務用Android端末の管理者は、配布中のAuthenticatorが6.2606.4246以降かを確認してください。これは研究環境での実証で、報告は実際の被害件数を示していません。iOS版や、端末にアプリを入れずに遠隔から成立する攻撃まで影響を広げて解釈しないことが必要です。