微软身份验证器 Authenticator 曝高危漏洞：恶意 App 无需权限就能窃取账户令牌

小众软件 · Oct 27, 2026

微软的身份验证工具 Microsoft Authenticator 被发现存在一个高危漏洞（CVE-2026-80097），CVSS 评分为 8.6 分。

攻击者只需要诱导用户安装一个恶意安卓应用，即使这个 App 没有申请任何系统权限，也可能窃取用户已经登录的微软账户令牌。

感谢小熊猫在安全情报下的分享。

10 月 23 日，安全研究机构 Enclave 公开了一项名为 AuthMask 的攻击研究，揭示了安卓版 Microsoft Authenticator 身份验证器的一个高危漏洞，该漏洞早在 2026 年 9 月 8 日就已由微软公开并修复，CVSS 评分为 8.6 分。

恶意 App 无需权限，就能骗取账户令牌

正常情况下，Microsoft Authenticator 负责保护用户的微软账户，包括登录验证和身份认证。

但研究人员发现，恶意 App 可以冒充 Microsoft Teams 等微软官方应用，欺骗 Authenticator 向其提供账户访问令牌。

整个过程大致是：

用户安装了一个恶意 Android App。

恶意 App 冒充微软官方应用。

Authenticator 错误地向它提供账户令牌。

攻击者利用令牌访问 Outlook 邮件、OneDrive 文件等服务。

整个攻击过程中，恶意 App 不需要申请任何敏感系统权限。…