Nujno posodobite Microsoft Authenticator!
Kritična napaka napadalcem omogoča prevzem računov brez gesla.
Varnostni raziskovalci podjetja Enclave so v priljubljeni mobilni aplikaciji Microsoft Authenticator za sistem Android razkrili kritično varnostno hibo, ki je zlonamernim aplikacijam omogočala neoviran prevzem žetonov za poslovne in zasebne Microsoftove račune. Ranljivost z uradno oznako CVE-2026-80097 je napadalcem omogočala, da so se neopazno izdajali za zaupanja vredne programe, kot so Microsoft Teams, Outlook ali OneDrive, ter si tako pridobili popoln dostop do uporabniške e-pošte, zaupnih sporočil, koledarjev in datotek v oblaku.
- Svet brez gesel, 25. 3. 2025
- Ustaviti napadalce, preden zaustavijo poslovanje, 27. 10. 2026
Tehnični vzrok ranljivosti je tičal v vlogi aplikacije kot posrednika avtentikacije v operacijskem sistemu Android. Ob zahtevi po izdaji žetonov za prijavo je Microsoft Authenticator preverjal zgolj točnost posredovanih podatkov o aplikaciji, kot so ime paketa, identifikator stranke in preusmeritveni naslov, ni pa preveril dejanske pristnosti programa, ki je zahtevo poslal. Zlonamerni program za izvedbo napada tako ni potreboval nobenih posebnih sistemskih dovoljenj, prav tako mu ni bilo treba poznati uporabnikovega gesla ali pridobiti njegove odobritve, saj je pridobivanje dostopnih žetonov potekalo neopazno v ozadju.
Čeprav bi moral uporabnik za uspešen napad na svojo napravo najprej namestiti nepreverjeno aplikacijo ali datoteko APK zunaj uradne trgovine, bi lahko že povsem nesumljiva igra ali orodje na ta način prevzela popoln nadzor nad celotnim poslovnim okoljem Microsoft 365. Raziskovalci so ranljivost odgovorno razkrili Microsoftovemu varnostnemu centru, ta pa je nemudoma izdal ustrezen popravek. Ker so prizadete vse različice aplikacije Microsoft Authenticator za Android, starejše od številke 6.2606.4246, Microsoft vsem uporabnikom in sistemskim administratorjem svetuje takojšnjo posodobitev aplikacije prek trgovine Google Play.
