W aplikacji Microsoft Authenticator na system Android odkryto poważną podatność (CVE-2026-80097), która pozwala złośliwym aplikacjom na przejęcie tokenów uwierzytelniających kont firmowych lub szkolnych. Problem polega na tym, że aplikacja nie weryfikowała poprawnie tożsamości podmiotu żądającego tokena, co pozwalało nawet aplikacjom bez specjalnych uprawnień podszywać się pod usługi takie jak Teams czy Outlook.
Skutki wykorzystania tej luki są bardzo poważne. Atakujący może nie tylko czytać i wysyłać e-maile czy modyfikować pliki w SharePoint, ale także podszywać się pod użytkownika w komunikatorze Teams. Co więcej, napastnik może spróbować dodać własne klucze dostępu (passkeys), co pozwoliłoby mu na utrzymanie dostępu do konta nawet po usunięciu złośliwej aplikacji z telefonu.
Problem dotyczy użytkowników Androida korzystających z kont służbowych. Microsoft opublikował już poprawkę, która rozwiązuje ten problem. Aby się chronić, należy upewnić się, że zainstalowana wersja aplikacji to 6.2606.4246 lub nowsza. Zaleca się również unikanie instalowania nieznanych aplikacji spoza oficjalnego sklepu Google Play oraz regularne sprawdzanie metod logowania w ustawieniach konta firmowego.
