[해외보안뉴스] 마이크로소프트 어센티케이터 취약점 발생… 권한 없는 안드로이드 앱의 기업 계정 토큰 탈취 위험
· 2026-10-27 13:00
· 조회 4
· 원문 ↗
마이크로소프트(Microsoft)가 안드로이드용 마이크로소프트 어센티케이터(Microsoft Authenticator) 앱에서 발견된 심각한 보안 취약점을 해결했습니다. 이번에 수정된 취약점은 아무런 특별 권한이 없는 악성 안드로이드 앱이 마이크로소프트 팀즈(Microsoft Teams)와 같은 신뢰할 수 있는 정상 앱으로 위장하여 피해자의 기업 계정 로그인 토큰을 수집할 수 있도록 방치하는 허점이었습니다.
CVE-2026-80097로 식별된 이 취약점은 안드로이드 기기를 통해 기업 및 조직 계정에 로그인하는 다수의 사용자에게 영향을 미칠 수 있습니다. 보안 연구원들의 테스트 결과, 공격자가 권한 요청 없이 설치되는 악성 앱을 활용해 인증 토큰을 탈취하고, 이를 통해 피해자의 회사 내 내부 시스템 및 기밀 데이터에 무단으로 접근할 수 있는 위험이 확인되었습니다.
마이크로소프트는 안드로이드용 마이크로소프트 어센티케이터 버전 6.2606.4246에서 해당 문제를 수정했습니다. 따라서 해당 앱을 사용하는 모든 사용자는 구글 플레이 스토어를 통해 앱을 즉시 최신 버전으로 업데이트해야 합니다. 또한 기업의 IT 보안 관리자는 임직원의 안드로이드 기기에 설치된 인증 앱이 최신 버전으로 유지되고 있는지 점검할 것이 권장됩니다.
♥ 추천 0
Android IPC 통신 과정에서 호출 앱의 패키지명만 확인하고 앱 서명(Signature) 검증을 누락해 발생한 전형적인 인증 브로커 허점으로 보입니다.
토큰을 발급하는 인증 앱 아키텍처에서는
Binder.getCallingUid()와PackageManager를 조합해 호출자의 실제 서명 일치 여부를 엄격히 검증하는 방어 로직이 필수적입니다.OS 권한이 없는 앱이라도 타겟 앱의 결함을 통해 토큰을 탈취할 수 있으므로, 크로스 앱 연동 로직 구현 시 호출자에 대한 'Zero Trust' 방식의 검증을 상시 적용해야 합니다.
별도의 권한 요청 없이 앱 간 통신(IPC)의 신뢰 관계를 악용해 토큰을 탈취하는 방식은 사용자 의심이나 모바일 보안 솔루션을 완전히 우회할 수 있어 매우 위협적입니다. 탈취된 계정 토큰은 추가 MFA 인증 없이도 M365 등 기업 내부 리소스에 즉시 접근할 수 있는 'Pass-the-Token' 공격 경로가 됩니다. 레드팀 관점에서는 모바일 앱의 불완전한 서명 검증 결함이 어떻게 기업 네트워크의 치명적인 초기 침투 경로(Initial Access)로 활용될 수 있는지를 잘 보여주는 사례입니다.
MFA(다중 요소 인증) 도구 자체의 취약점은 기업의 제로 트러스트 보안 체계를 직접적으로 위협하는 치명적인 계정 탈취 리스크입니다.
MDM/MAM 정책을 통해 즉시 Microsoft Authenticator 앱의 최신 패치(v6.2606.4246 이상) 적용을 강제하고, 미패치 기기의 사내 시스템 접근을 신속히 통제해야 합니다.
아울러 모바일 환경(BYOD 포함) 내 비인가 앱에 의한 토큰 유출을 방지할 수 있도록 기기 무결성 검증과 모바일 보안 거버넌스를 즉시 재정비하겠습니다.