Microsoft Authenticatorin Android-haavoittuvuus on korjattu versiossa 6.2606.4246. Yritysten kannattaa päivittää tätä vanhemmat versiot ja varmistaa päivityksen toteutuminen myös työntekijöiden omissa, työkäyttöön hyväksytyissä Android-puhelimissa. Haavoittuvuus saattoi antaa laitteeseen asennetulle haitalliselle sovellukselle pääsyn työkäyttäjätilin käyttöoikeustunnisteisiin ilman erillistä hyväksyntäpyyntöä.
Haavoittuvuuden tunniste on CVE-2026-80097, ja Microsoftin ilmoittama vakavuusarvio on CVSS 8,6. Hyökkäys edellytti haitallista sovellusta samalla laitteella sekä Authenticatoriin kirjautunutta työtiliä. Pelkkä Authenticatorin käyttö ei siis tarkoita, että tili olisi vaarantunut.
Mitä Microsoft Authenticatorin Android-versiossa korjattiin?
Microsoft julkaisi korjauksen 8.9.2026. Haavoittuvuus koski Authenticator for Android -versioita ennen versiota 6.2606.4246. Kyse ei ollut vain kertakäyttöisten tunnuslukujen suojaamisesta, vaan sovelluksen tehtävästä muiden sovellusten kirjautumisen välittäjänä.
Kun esimerkiksi Outlook tai Teams tarvitsee kirjautumisen, Authenticator voi välittää sille käyttöoikeustunnisteen eli tokenin. Tunniste osoittaa palvelulle, että käyttäjä on tunnistautunut, ja mahdollistaa palvelun käytön tunnisteeseen liittyvien oikeuksien rajoissa.
Haavoittuva Authenticator luotti kirjautumispyynnössä ilmoitettuun sovellusidentiteettiin varmistamatta riittävästi, mikä sovellus pyynnön todella lähetti. Haitallinen Android-sovellus saattoi näin esiintyä luotettuna Microsoft-sovelluksena ja saada sille tarkoitettuja tunnisteita. Hyväksikäyttö ei edellyttänyt haitalliselta sovellukselta erityisiä Android-käyttöoikeuksia eikä käyttäjän erillistä hyväksyntää tunnistepyynnölle.
Mitä työtilin kautta saattoi paljastua?
Varastetut käyttöoikeustunnisteet saattoivat mahdollistaa sähköpostien lukemisen ja lähettämisen, tiedostojen ja kalenterin käsittelyn sekä SharePointin ja Teamsin käytön käyttäjän oikeuksilla. Yrityksen arjessa tämä voisi tarkoittaa esimerkiksi asiakastietojen paljastumista tai työntekijän nimissä lähetettyä uskottavaa viestiä.
Haavoittuvuuden testauksessa pystyttiin myös muuttamaan tilin kirjautumistapoja, mukaan lukien pääsyavainten eli passkey-avainten lisääminen ja poistaminen. Hyökkääjän lisäämä kirjautumistapa voi säilyttää pääsyn tilille haitallisen sovelluksen poistamisen jälkeenkin. Siksi puhelimen siivoaminen ja Authenticatorin päivittäminen eivät yksin riitä, jos tilin väärinkäyttöä epäillään.
Suomi Solutionsin käytännön arvio on, että tilanteessa on erotettava kaksi tehtävää: haavoittuvan sovellusversion korjaaminen ja mahdollisen tilivaarantumisen selvittäminen. Microsoft 365 -ympäristön tarkastuksessa Suomi Solutions voi auttaa tutkimaan kirjautumislokeja ja tunnistautumistapojen muutoksia, jotta jatkotoimet perustuvat havaintoihin eivätkä pelkkään sovellusversion ikään.
Miksi monivaiheinen tunnistautuminen ei yksin estänyt riskiä?
Monivaiheinen tunnistautuminen suojaa kirjautumista, mutta käyttöoikeustunnisteen varastaminen kohdistuu jo muodostettuun käyttöoikeuteen. Hyökkääjän ei tällöin välttämättä tarvitse tietää salasanaa tai pyytää käyttäjältä uutta kirjautumisen hyväksyntää.
Tämä ei tarkoita, että monivaiheinen tunnistautuminen pitäisi poistaa käytöstä. Se on edelleen tärkeä suoja. Tapauksen käytännön opetus on, että myös tunnistautumiseen osallistuvat mobiilisovellukset, niiden päivitykset ja laitteen muut sovellukset kuuluvat yrityksen kyberturvan kokonaisuuteen.
Mitä yrityksen kannattaa tarkistaa nyt?
- Varmista korjattu versio. Päivitä Microsoft Authenticator Google Play -kaupasta ja tarkista, että asennettu versio on vähintään 6.2606.4246. Pelkkä automaattisten päivitysten käyttöönotto ei osoita, että päivitys on jo asentunut.
- Selvitä laitekanta. Kartoita Authenticatoria käyttävät Android-laitteet laitehallinnan avulla sen tarjoamien tietojen rajoissa. Sovi erillinen tarkistus myös työkäyttöön hyväksytyille henkilökohtaisille laitteille, joiden sovellusversioita hallinta ei näytä.
- Tutki poikkeamat. Tarkista epäilyttävät kirjautumiset ja odottamattomat tunnistautumistapojen muutokset. Kiinnitä huomiota erityisesti uusiin pääsyavaimiin. Yksittäinen normaali kirjautumistapahtuma ei kuitenkaan sulje pois tunnisteen väärinkäyttöä.
- Käsittele vaarantumisepäily erikseen. Jos laitteessa epäillään haitallista sovellusta, arvioi sekä puhelimen että työtilin turvallisuus. Poista luvattomat kirjautumistavat ja mitätöi istunnot organisaation toimintamallin mukaisesti. Istuntojen mitätöinnin vaikutus voi vaihdella palvelun ja tunnistetyypin mukaan.
- Rajaa sovellusten asentamista. Tarkista hyväksytyt sovelluslähteet, asennusrajoitukset ja henkilöstön ilmoituskanava. Luotettu sovelluskauppa pienentää riskiä, mutta ei korvaa laitteiden päivityksiä ja valvontaa.
Suomi Solutions voi auttaa sovittamaan Android-laitteiden tarkistukset yrityksen Microsoft 365 -käytäntöihin: kuka varmistaa version, miten puutteet käsitellään ja kuka reagoi epäilyttävään tilimuutokseen. Näin tekninen korjaus ei jää työntekijän muistin varaan.
Jos epäily kohdistuu yksittäiseen työtiliin, seuraava askel on rajattu selvitys ja hallittu palautuminen, ei kaikkien käyttäjien työskentelyn keskeyttäminen. Suomi Solutions auttaa selvittämään tarvittavat tarkistukset ja toteuttamaan tilin suojaustoimet niin, että myös liiketoiminnan jatkuvuus huomioidaan.
