近日，一条名为 AuthMask 的攻击链被曝光：毫无权限的应用可伪装成微软第一方应用，从安卓版微软身份验证器中套取账户令牌，进而访问用户的邮箱、文件与日历数据。微软已确认该漏洞并完成修复，旧版本用户需尽快升级。

据网络安全研究员 Ofek Levin 上周发布的报告，这条攻击链能让攻击者诱导微软身份验证器交出访问令牌，接收方却是一个本无任何权限的应用，由此突破权限边界、实现越权访问。研究团队称其测试中无需用户额外操作即可得手，微软方面则认为利用该漏洞需用户完成一次认证流程，双方说法存在分歧。

研究团队进一步查明，在安卓平台上，未获授权的第三方应用可冒充微软已安装的第一方应用，诱使验证器交付其持有的令牌。令牌一旦到手，攻击者便能获得完整的委托邮箱、文件及日历访问权限，波及用户邮件往来、云端文档与日程安排等敏感数据，影响面相当广。

问题根源在于验证器对外暴露了名为 com.microsoft.identity.client.AccountChooserActivity 的活动组件。该组件运行于 :auth 进程，且被标记为 android:exported="true"，意味着设备上任意应用均可直接启动它，无需额外授权，这为冒充行为打开了方便之门，也使攻击链的落地门槛大幅降低。

目前，研究团队已将相关情况上报微软安全响应中心。微软确认问题存在，并已在安卓版 Microsoft Authenticator 中完成修复，漏洞编号为 CVE-2026-80097。IT之家提醒，低于 6.2606.4246 的版本均受此漏洞影响，建议用户尽快升级至最新版，以降低安全风险，避免账户令牌被恶意应用窃取利用。

【免责声明】 本文部分数据来源于网络公开报道及行业资讯，如有侵权，请及时联系，我们将第一时间予以删除或更正。文中所涉观点、数据及分析仅代表小编个人观点，仅供参考，不构成任何投资建议、商业决策依据、法律承诺或其他专业意见。投资有风险，决策需谨慎；任何单位或个人据此进行商业决策、经营行为所产生的风险，均自行承担。