Lỗ hổng có thể trao mã phiên cho ứng dụng giả mạo
Microsoft Authenticator trên Android là ứng dụng xác thực đa yếu tố giúp người dùng đăng nhập an toàn và cấp quyền truy cập cho các dịch vụ Microsoft. Tuy nhiên, một lỗi trong cách ứng dụng xác thực yêu cầu đã khiến quy trình bảo vệ này có thể bị ứng dụng khác lợi dụng. Microsoft đã vá lỗ hổng Authenticator có mức độ nghiêm trọng cao, được định danh CVE-2026-80097, sau khi nhà nghiên cứu bảo mật Ofek Levin thuộc Enclave phát hiện vấn đề. Lỗi cho phép ứng dụng Android độc hại giả danh một ứng dụng Microsoft hợp pháp để yêu cầu mã thông báo phiên. Theo mô tả của Microsoft, kẻ tấn công có thể dùng thông tin đăng nhập hiện tại của người dùng để xác thực với máy chủ từ xa. Đây không phải rủi ro có thể xem nhẹ: Authenticator vốn là lớp bảo vệ tài khoản, nhưng lỗi này biến nó thành một con đường cấp quyền ngoài ý muốn.
Điểm đáng lo là ứng dụng độc hại không cần quyền Android đặc biệt để thực hiện thủ thuật. Trong thử nghiệm có kiểm soát, ứng dụng giả danh Microsoft Teams và nhận được mã thông báo để truy cập dữ liệu tài khoản. Vì thế, việc một ứng dụng không đòi quyền nhạy cảm hoặc không có dấu hiệu khả nghi rõ ràng không đủ để loại trừ nguy cơ.
Phiên đăng nhập có thể mở lối vào dữ liệu công việc
Mã thông báo phiên có thể cho phép truy cập tài nguyên Microsoft dưới danh nghĩa người dùng, nên hậu quả vượt xa việc đánh cắp một mật khẩu. Trong tình huống thử nghiệm, nhóm nghiên cứu truy cập được email, tin nhắn Teams, lịch và tệp; họ cũng có thể sửa hoặc gửi tin nhắn, thay đổi lịch và chỉnh sửa tệp. Một số phương thức xác thực cũng có thể bị quản lý, bao gồm tạo hoặc xóa khóa truy cập. Những khả năng này cho thấy phiên đăng nhập đã bị chiếm có thể trao quyền rộng đến mức nào, đặc biệt với tài khoản công việc chứa dữ liệu nội bộ. Người dùng không nhất thiết phải nhập lại mật khẩu hay xác nhận yêu cầu đăng nhập để cuộc tấn công diễn ra; do đó, chỉ dựa vào cảnh giác với thông báo đăng nhập là chưa đủ.
Hiện chưa có bằng chứng cho thấy lỗ hổng đã bị khai thác ngoài thực tế. Đây là tin đáng mừng, nhưng không phải lý do để trì hoãn: khi chi tiết kỹ thuật đã được công bố, ứng dụng chưa vá có thể trở thành mục tiêu hấp dẫn. Rủi ro vẫn cần có ứng dụng độc hại trên thiết bị, nên tránh cài tệp APK từ nguồn không đáng tin cậy là một lớp phòng ngừa hữu ích, nhưng không thay thế việc cập nhật.
Cập nhật ngay lên bản đã vá
Các phiên bản Microsoft Authenticator Android cũ hơn 6.2606.4246 bị ảnh hưởng. Microsoft đã xác nhận vấn đề và phát hành bản sửa lỗi; người dùng cần cập nhật lên phiên bản 6.2606.4246 hoặc mới hơn qua Google Play. Đây là việc nên làm ngay, không phải chờ đến lần đổi điện thoại hay kiểm tra bảo mật định kỳ tiếp theo.
- Mở Google Play và tìm Microsoft Authenticator.
- Cài bản cập nhật nếu có; bảo đảm ứng dụng đang ở phiên bản 6.2606.4246 trở lên.
- Chỉ tải ứng dụng từ cửa hàng chính thức, tránh cài APK từ nguồn không rõ ràng.
Nếu thiết bị chưa hiển thị bản cập nhật, hãy kiểm tra lại sau thay vì tìm bản cài đặt trên trang không xác minh. Với một lỗ hổng có thể làm lộ mã thông báo phiên, cập nhật ứng dụng Android qua kênh chính thức là bước bảo vệ thiết thực nhất. Bản vá đã có; phần còn lại là người dùng cần cài đặt nó.
