Microsoft Authenticator の脆弱性iOS そしてAndroid ( CVE-2026-26123 ) は、ワンタイムサインインコードや認証ディープリンクを、同じデバイス上の悪意のあるアプリに漏洩させる可能性があります。
ディープリンクは、クリックするとウェブまたはモバイルアプリケーション内の特定のアクティビティに直接アクセスできる事前定義されたURI（Uniform Resource Identifier）です。簡単に言えば、アプリを開いてログインなどの操作を完了するために使用される、特別に構築されたリンクです。
Microsoft Authenticatorは、Microsoftおよびその他のアカウント向けに、時間ベースのワンタイムコードを生成し、サインインリンクやQRコードベースのログインを処理するモバイルアプリです。個人所有のスマートフォンにおける多要素認証（MFA）に広く利用されており、企業向けサービスや本番環境サービスへのアクセスを保護するBYOD（Bring Your Own Device）デバイスも含まれます。
この脆弱性は、Microsoft Authenticator がインストールされているユーザーに影響します。 iOS またはAndroidデバイス。この脆弱性を悪用するには、ユーザーがまずデバイスに悪意のあるアプリをインストールし、その後、誤ってそのアプリをサインインのディープリンクを処理するアプリとして選択する必要があります。
その場合、悪意のあるアプリはワンタイムコードやサインイン情報を受け取り、被害者として認証するためにそれを利用する可能性があります。
攻撃が成功した場合、攻撃者は以下のことが可能となる：
- Microsoft Authenticatorコードを信頼するサービスへの完全なログインフローを完了してください。
- 侵害されたアカウントで利用可能な情報およびサービス（電子メール、ファイル、クラウドアプリケーション、またはBYOD環境における生産システム）にアクセスする。
- 同じ端末上の認証アプリで発行されたコードによって保護されている場合、追加アカウントへの切り替えも検討する可能性があります。
安全に過ごすには
CVE-2026-26123の修正は既に現行リリースに含まれているため、更新プログラムのインストールが最も効果的な対策となります。
- iOSの場合：App Storeを開きます。画面上部の「マイアカウント」ボタンまたは自分の写真をタップします。下にスクロールして、保留中のアップデートとリリースノートを確認します。アプリの横にある「アップデート」をタップすると、そのアプリのみがアップデートされます。 「すべてアップデート」をタップすると、そのアプリのみがアップデートされます。
- Androidの場合：Google Playストアアプリを開きます。右上のプロフィールアイコンをタップします。 「アプリと端末の管理」をタップします。「利用可能なアップデート」の下にある「詳細を見る」をタップします。アップデートしたいアプリの横にある「アップデート」をタップします。すべてのアプリを同時にアップデートするには、 「すべてアップデート」をタップします。
注：お使いのデバイスの製造元がアプリ更新の適用方法として異なる手法を採用している場合、手順が若干異なる場合があります。
アプリを一時的に更新できない場合は、認証リンクの処理、QRコードベースのサインイン、またはWebからアプリへのサインインフローを要求する新規アプリのインストールを避けてください。
QRコードをスキャンしたりサインインリンクをタップする際は、ハンドラーがMicrosoft Authenticatorまたは他の信頼できるアプリであることを確認し、未知のアプリ、最近インストールしたアプリ、またはその他の不審なアプリではないことを確認してください。
可能な限り、更新を適用できるまで、既に信頼している代替の多要素認証（MFA）オプション（パスワード管理ツールの組み込み認証や、Appleのパスワード機能のようなプラットフォーム固有のソリューションなど）をご利用ください。
モバイルデバイスには、悪意のあるアプリを検出するのに役立つマルウェア対策保護機能を使用してください。
詐欺師たちは、あなたが思っている以上にあなたのことを知っています。
Malwarebytes Mobile Security フィッシング詐欺、詐欺メール、悪質なサイトなどからあなたを守ります。リアルタイムAI搭載のScam Guardが内蔵されています。
