Kerentanan Microsoft Authenticator Membenarkan Aplikasi Hasad Mencuri Token Pengesahan Tanpa Kebenaran

Aplikasi Microsoft Authenticator merupakan sebuah aplikasi 2FA yang secara lazimnya digunakan untuk mengesahkan identiti pengguna sebelum melog masuk pada pelbagai perisian, aplikasi dan perkhidmatan digital untuk kegunaan korporat dan persendirian.

Baru-baru ini, ia dilaporkan bahawa sebuah syarikat penyelidik bernama Enclave telah menemui kerentanan dalam aplikasi tersebut untuk platform Android yang membenarkan aplikasi hasad yang menyamar sebagai sebuah aplikasi sah untuk mendapatkan token yang dihasilkan untuk tujuan pengesahan pengguna tanpa kebenaran.

Para penyelidik dari Enclave telah menemui bahawa kerentanan ini membolehkan mana-mana aplikasi Android yang menyamar menjadi sebuah aplikasi Microsoft untuk mendapatkan kebenaran mengakses pelbagai sistem dalam syarikat. Dalam ujian mereka, teknik ini memberi mereka akses kepada simpanan fail, emel dan juga kalendar pengguna tanpa pengguna, dan secara jarak jauh.

Pihak penyelidik Enclave juga telah memberi cara penuh bagaimana mereka menggunakan kerentanan ini, dan ini adalah kerana Microsoft sudahpun diberitahu mengenai kerentanan ini pada awal bulan September lalu, dan telah memperbaikinya pada 8 September. Enclave hanya mendedahkan kerentanan ini selepas memastikan bahawa Microsoft telah memperbaikinya.

Oktober 2026 boleh dilihat sebagai bulan dimana banyak kerentanan sekuriti digital serius dapat diperlihatkan. Kerentanan PHP dan isu pensijilan HTTPS telah menyebabkan banyak laman web ditutup sementara sambil menunggu kemaskini sekuriti untuk memastikan keselamatan laman web dan data yang terkandung tidak digodam dan dicuri.

Jika anda menggunakan aplikasi 2FA Microsoft Authenticator, pastikan bahawa aplikasi tersebut dikemaskini kepada versi terbaru untuk mengelak daripada terkesan dengan kerentanan ini.

Sumber: Enclave