Microsoft Authenticator untuk Android ditemukan memiliki celah keamanan yang memungkinkan aplikasi berbahaya menyamar sebagai aplikasi Microsoft tepercaya untuk memperoleh token autentikasi akun kerja. Jika berhasil dieksploitasi, token tersebut dapat membuka akses ke email, file, kalender, dan sumber daya digital milik korban.

Kerentanan berkode CVE-2026-80097 ini memperoleh skor 8,6 pada Common Vulnerability Scoring System (CVSS). Microsoft telah merilis perbaikan melalui Microsoft Authenticator versi 6.2606.4246. Pengguna disarankan memperbarui aplikasi untuk mengurangi risiko penyalahgunaan celah tersebut.

Baca Juga: Hacker Kini Bisa Bobol Akun Microsoft Tanpa Curi Password

Bagaimana Microsoft Authenticator Bisa Kecolongan?

Pada perangkat Android, Microsoft Authenticator tidak hanya menampilkan kode verifikasi, tetapi juga bertindak sebagai perantara autentikasi atau authentication broker. Aplikasi ini membantu layanan Microsoft, seperti Teams dan Outlook, memperoleh token untuk mengakses akun pengguna.

Peneliti keamanan Ofek Levin dari Enclave menemukan bahwa aplikasi berbahaya dapat memanggil komponen AccountChooserActivity dan mengajukan permintaan token dengan menyamar sebagai aplikasi tepercaya.

Celah terjadi karena mekanisme pemeriksaan tanda tangan aplikasi tidak cukup untuk memastikan identitas pihak yang sebenarnya mengajukan permintaan. Akibatnya, aplikasi berbahaya berpotensi memperoleh token meskipun tidak berhak menerimanya.

Beberapa hal yang perlu dipahami dari temuan ini meliputi:

• Aplikasi berbahaya dapat menyamar sebagai Microsoft Teams.
• Pemeriksaan tanda tangan aplikasi gagal membedakan aplikasi asli dan pihak yang mengajukan permintaan.
• Token yang diperoleh dapat digunakan untuk mengakses sumber daya sesuai izin yang dimilikinya.

Token yang Dicuri Bisa Membuka Akses ke Data Kerja

Token autentikasi menjadi target penting karena dapat digunakan untuk mengakses layanan tanpa harus mengulangi proses masuk seperti biasa. Dalam pengujian Enclave, token Microsoft Graph yang diperoleh melalui penyamaran sebagai Teams memiliki izin untuk membaca dan mengirim email, membaca dan mengubah file, serta mengakses dan mengubah kalender.

Dampaknya bergantung pada izin token dan sumber daya yang terhubung dengan akun korban. Risiko yang muncul, antara lain:

• Email kantor: komunikasi bisnis dapat dibaca atau pesan dikirim menggunakan akun korban.
• Dokumen perusahaan: file berpotensi dibaca atau diubah.
• Kalender kerja: informasi jadwal dan agenda dapat diakses atau dimodifikasi.
• Identitas digital: penyerang berpotensi bertindak sebagai pengguna yang telah terautentikasi.

Microsoft menyatakan belum menemukan bukti bahwa kerentanan ini telah digunakan dalam serangan. Namun, pengguna dan organisasi tetap perlu mengambil langkah pencegahan.

Baca Juga: Phishing Passkey Jadi Modus Baru Bobol Akun Microsoft

Cara Mengatasi Kerentanan Microsoft Authenticator

Microsoft telah memperbaiki celah ini melalui Microsoft Authenticator untuk Android versi 6.2606.4246. Pengguna perlu memastikan aplikasi telah diperbarui ke versi tersebut atau yang lebih baru.

Langkah pencegahan yang dapat dilakukan meliputi:

• Perbarui aplikasi: lakukan pembaruan melalui Google Play dan periksa versi yang terpasang.
• Hindari aplikasi mencurigakan: jangan memasang aplikasi dari sumber yang tidak tepercaya pada perangkat kerja.
• Terapkan kebijakan perangkat: administrator dapat menetapkan versi minimum aplikasi melalui sistem pengelolaan perangkat.
• Pantau aktivitas akun: periksa aktivitas masuk dan akses terhadap sumber daya penting.
• Evaluasi token dan sesi: jika terdapat indikasi kompromi, tim TI perlu memeriksa sesi autentikasi dan mengambil langkah pengamanan yang sesuai.

Microsoft belum menjelaskan secara tegas apakah pembaruan aplikasi otomatis membatalkan token yang mungkin telah dicuri sebelum perbaikan dipasang. Karena itu, dugaan kompromi tetap perlu ditangani melalui pemeriksaan dan prosedur respons insiden.

Kasus ini menunjukkan bahwa keamanan akun kerja tidak hanya bergantung pada autentikasi multifaktor. Pembaruan aplikasi, validasi identitas, pembatasan hak akses, dan pemantauan aktivitas merupakan bagian penting dari perlindungan data organisasi.