手機驗證器不再可靠：微軟漏洞揭示的帳戶安全新風險

漏洞如何被利用

網絡安全研究員奧菲克萊文公布的報告，披露了一條名為 AuthMask 的攻擊鏈。攻擊路徑依賴微軟身份驗證器的身份驗證代理功能：一部 Android 手機如果安裝了惡意應用程式，該程式可以借助這個代理，冒充手機上已經安裝的微軟應用，向身份驗證器索取帳戶令牌。

令牌不是密碼。它是在你完成登入與驗證之後，用來證明「這部裝置已經通過驗證」的憑證。攻擊者拿到令牌，就可以繞過密碼與即時驗證提示，直接以受害者的名義存取帳戶。漏洞編號為 CVE-2026-80097。

對日常驗證的實際意義

對一般用戶來說，最直接的影響是：單靠微軟身份驗證器並不足夠。許多人習慣在手機安裝驗證器後，就認為登入多了一重保障。但 AuthMask 顯示，如果裝置本身已經被惡意程式滲透，驗證器反而可能成為令牌外洩的通道。

這不等於身份驗證器完全失效。漏洞的前提是手機上先有惡意 Android 應用程式。用戶仍應避免安裝來源不明的應用程式，並留意應用程式要求的權限。但風險模型已經改變：過去用戶被教導「驗證器比短訊安全」，現在則要明白，驗證器安全的前提是裝置本身未被入侵。

修復與版本管理

奧菲克萊文在公布報告前，已經提前通報微軟。微軟在 9 月發布更新修復漏洞。也就是說，如果用戶的手機在 9 月之後仍未更新微軟身份驗證器，就可能仍然暴露在 AuthMask 攻擊鏈之下。

這類漏洞的修復速度，通常快於一般用戶更新應用程式的速度。企業資訊科技部門往往會強制推送更新，但個人用戶未必會即時理會應用程式商店的更新通知。未來幾年，驗證器類應用程式的版本管理，會變得更像作業系統更新：不是「有空才更新」，而是「未更新就等於未受保護」。

未來的驗證方式會怎樣變

AuthMask 反映的問題，不只是微軟一個應用程式的漏洞。它指向一個更大的趨勢：當身份驗證器愈來愈像一個中央憑證庫，攻擊者的目標也會從單一密碼，轉向驗證器本身。未來幾年，用戶可能會看到更多驗證方式走向硬件化，例如實體安全鑰匙，或者由手機安全晶片直接儲存令牌，減少應用程式層面的代理攻擊面。

對普通人而言，短期內最實際的改變是：更新驗證器不再是可選項；安裝應用程式時要更嚴格；如果帳戶涉及高價值資產，單靠手機驗證器可能不再被視為足夠的保護。漏洞編號 CVE-2026-80097 會成為安全團隊提醒用戶更新的依據，但對多數人來說，更重要的是記住：驗證器保護你，前提是你先保護好安裝驗證器的那部手機。