Lỗ hổng cho phép ứng dụng giả mạo lấy token
Lỗ hổng Authenticator là lỗi xác thực trong Microsoft Authenticator trên Android, có thể khiến ứng dụng độc hại cài trên cùng thiết bị lấy token phiên và truy cập tài nguyên Microsoft dưới danh nghĩa người dùng bị ảnh hưởng. Microsoft xếp sự cố này ở mức nghiêm trọng cao và theo dõi bằng mã CVE-2026-80097.
Cách khai thác đáng lo vì ứng dụng giả mạo không nhất thiết phải xin quyền Android rộng. Kẻ tấn công có thể khiến Authenticator tin rằng ứng dụng đó là một ứng dụng Microsoft hợp lệ, rồi nhận token để truy cập dịch vụ. Trong thử nghiệm có kiểm soát, token mở đường tới email, tin nhắn Teams, lịch và tệp; một số thao tác còn có thể sửa nội dung hoặc quản lý phương thức xác thực. Đây không phải rủi ro nên xem nhẹ chỉ vì ứng dụng Authenticator vốn được cài để tăng bảo vệ.
Ai bị ảnh hưởng và Microsoft đã vá ra sao?
Các phiên bản Microsoft Authenticator Android cũ hơn 6.2606.4246 bị ảnh hưởng. Microsoft đã xác nhận lỗi và phát hành bản sửa; người dùng cần cập nhật lên phiên bản 6.2606.4246 hoặc mới hơn qua Google Play. Nếu cửa hàng chưa hiển thị bản cập nhật, hãy kiểm tra lại sau, thay vì tìm tệp cài đặt từ nguồn không rõ.
Các nhà nghiên cứu phát hiện lỗi trong môi trường thử nghiệm có kiểm soát; hiện không có bằng chứng cho thấy kiểu tấn công này đã được triển khai ngoài thực tế. Điều đó không làm giảm lý do phải cập nhật: khi chi tiết kỹ thuật đã công khai, trì hoãn bản vá sẽ để thiết bị tiếp tục chạy phiên bản dễ bị khai thác. Bản sửa là bước bảo vệ thiết yếu, nhưng không thay thế thói quen cài ứng dụng an toàn.
Cập nhật ứng dụng và rà soát tài khoản
- Mở Google Play, tìm Microsoft Authenticator và cập nhật lên phiên bản 6.2606.4246 hoặc mới hơn.
- Kiểm tra hoạt động đăng nhập và các cảnh báo bảo mật trong tài khoản Microsoft; chú ý phiên đăng nhập hoặc thay đổi bạn không nhận ra.
- Nếu phát hiện dấu hiệu bất thường, dùng trang bảo mật của Microsoft để đăng xuất phiên lạ, đổi mật khẩu và rà soát phương thức xác thực.
- Tránh cài tệp APK từ kho ứng dụng không được kiểm chứng; ứng dụng độc hại vẫn cần được đưa lên thiết bị mới có thể lợi dụng lỗi.
Kiểm tra tài khoản là việc nên làm sau khi cập nhật, nhất là với tài khoản công việc có email, dữ liệu Teams, lịch và tệp quan trọng. Nguồn tin không cho biết có khai thác thực tế, vì vậy không nên mặc định tài khoản đã bị xâm nhập; nhưng cũng không có lý do để bỏ qua việc xem lại hoạt động. Với bảo mật tài khoản Android, bản vá và thói quen cài ứng dụng đáng tin cậy phải đi cùng nhau.
Kết luận: đừng chờ mới cập nhật
CVE-2026-80097 cho thấy ứng dụng xác thực cũng có thể trở thành mắt xích rủi ro nếu xử lý việc cấp token sai cách. Microsoft đã phát hành bản vá cho Microsoft Authenticator Android, nên ưu tiên thực tế rất rõ: cập nhật ngay, tránh APK không rõ nguồn và rà soát hoạt động tài khoản. Đây là cách hợp lý để giảm nguy cơ token bị lạm dụng, thay vì chỉ dựa vào việc chưa thấy dấu hiệu tấn công.
