Android の Microsoft Authenticator を更新し、職場アカウントの端末に不審なアプリを入れさせない（CVE-2026-80097）

Android 版 Microsoft Authenticator が、トークンを渡す相手のアプリが本物かを確かめておらず、Teams を名乗る偽アプリにアクセストークンとリフレッシュトークンを平文で渡していた。6.2606.4246 以降で修正済みなので、管理する端末の版をそろえて確認する。

Authenticator は Android で「ブローカー」として、Teams や Outlook などの Microsoft アプリにサインイン済みのトークンを配る役割を持つ。呼び出し元の検証がなかったため、同じ端末に入った悪意あるアプリが次の権限を得られた。

MFA を済ませた後のトークンそのものが渡るので、パスワード変更だけでは止まらない。

版を確認する。 Intune などの MDM で、Authenticator が 6.2606.4246 以降かを全端末で確認し、最小版を条件付きアクセスやアプリ保護ポリシーで強制する。
職場プロファイル側のアプリを絞る。 業務用の Android は Work Profile を使い、管理された Google Play からのアプリだけを入れられるようにする。野良 APK のインストール（提供元不明のアプリ）を禁止する。
疑わしい端末はトークンを失効させる。 修正前の版で不審なアプリが入っていた可能性があれば、該当ユーザーのサインインセッションを取り消し、登録済みの認証方法とパスキーに見覚えのないものがないか確認する（後片付けの手順は Microsoft 365 のトークン窃取からの復旧は「パスワード再設定だけ」で終わらせないを参照）。
サインインログで「Teams を名乗る見慣れないアプリ」を探す。 Entra ID のサインインログで、モバイル端末から通常と違うクライアントやアプリ ID のトークン利用がないかを見る。