Analyse des attaques contre les clés d’accès : les logiciels malveillants ont toujours leur mot à dire

Les clés d’accès font partie des rares améliorations de sécurité qui méritent des applaudissements. Elles remplacent les secrets partagés par la cryptographie à clé publique, rendent l’hameçonnage beaucoup plus difficile et évitent aux utilisateurs d’inventer un nouveau mot de passe qui ressemble à un clavier tombé dans les escaliers. Puis un logiciel malveillant arrive sur l’appareil, parce qu’évidemment, et l’histoire bien rangée du sans mot de passe devient plus compliquée. SecurityWeek rapporte que de nouvelles méthodes d’attaque peuvent permettre à des logiciels malveillants de détourner des comptes protégés par clé d’accès. La leçon utile n’est pas que les clés d’accès sont cassées. C’est que l’architecture d’authentification ne s’arrête pas à l’invite de connexion, surtout lorsque le terminal, le navigateur et les mécanismes de récupération font encore partie de la chaîne de confiance.

Ce qui s’est passé selon SecurityWeek

SecurityWeek présente le problème sans détour : de nouvelles méthodes permettent à des logiciels malveillants de détourner des comptes protégés par clé d’accès. C’est important, car les clés d’accès ont été présentées comme le successeur tant attendu des mots de passe, et pour de bonnes raisons. Comme l’explique Neuracybintel, les clés d’accès reposent sur une authentification résistante à l’hameçonnage grâce à la cryptographie à clé publique, à des identifiants liés à l’appareil et à une vérification de l’utilisateur par biométrie ou code PIN. Le hic, selon Neuracybintel, c’est la condition préalable : le logiciel malveillant est déjà en cours d’exécution sur une machine Windows. Ce n’est pas une rupture magique du modèle des clés d’accès depuis l’autre bout d’Internet. C’est le vieux film d’horreur de la sécurité où le monstre est déjà dans la maison, sauf que maintenant la maison a la synchronisation cloud, la confiance du navigateur et des flux de récupération de compte avec des opinions très arrêtées.

Le trio Pass-ta-key, selon Neuracybintel

Neuracybintel indique que des chercheurs de Palo Alto Networks Unit 42 ont décrit trois techniques liées, surnommées Pass-ta-key. La recherche porte sur les clés d’accès synchronisées de Google Password Manager dans Chrome sous Windows. Ces méthodes peuvent permettre à un logiciel malveillant non privilégié disposant d’un TPM de détourner des clés d’accès synchronisées de Google Password Manager en usurpant l’identité de l’appareil, en contournant la vérification de l’utilisateur ou en extrayant le secret maître. Cette formulation est importante. Neuracybintel souligne qu’aucune rupture cryptographique ne se produit. L’abus se situe autour de Chrome et de la confiance accordée à l’authentificateur cloud, ainsi que des flux de récupération après compromission du terminal. Autrement dit, la porte du coffre peut être solide, mais le bâtiment a toujours des quais de chargement, des lecteurs de badge et un bureau de récupération somnolent nommé Gary. La motivation de l’acteur malveillant ici est tristement ordinaire : obtenir un accès durable. Neuracybintel avertit d’un risque de vol de comptes à long terme et entre appareils. C’est le genre de persistance que les attaquants apprécient, car elle transforme une machine compromise en moyen d’atteindre des comptes au-delà de cette machine, exactement le type de rebondissement que les défenseurs préfèrent annuler avant la saison deux.

La recherche de Unit 42 déplace

la conversation sur la conception La page de recherche de Unit 42 indique qu’Arie Olshtein est l’auteur de « Pass the Passkey: A Novel Attack Surface in Passwordless Authentication », publié le 3 août 2026. Le titre fait déjà une grande partie du travail : le risque n’est pas l’authentification sans mot de passe en tant qu’idée ratée, mais l’authentification sans mot de passe en tant que surface d’attaque plus large. C’est la partie que les équipes produit devraient écrire sur un tableau blanc avant que quelqu’un n’achète un gâteau de célébration. La conclusion architecturale est que les clés d’accès réduisent une grande catégorie de risques de connexion, en particulier l’hameçonnage, mais elles ne suppriment pas la nécessité de défendre l’appareil et le cycle de vie du compte qui l’entoure. La protection des terminaux compte, car les techniques décrites commencent après une compromission locale. Les contrôles de session du navigateur et le durcissement du navigateur comptent, car la recherche se concentre sur Chrome et la confiance accordée à l’authentificateur cloud. La conception des flux de récupération compte, car Neuracybintel cite précisément les flux de récupération comme faisant partie du chemin d’abus. C’est là que le tableau des scores de la sécurité devient injuste, mais utile. Les fournisseurs peuvent livrer une authentification plus forte tout en restant exposés par le tissu de confiance qui l’entoure. Cela ne fait pas des clés d’accès un mauvais investissement. Cela en fait un contrôle sérieux qui doit être déployé avec les compagnons ennuyeux qui continuent de nous sauver de nous-mêmes : correctifs, contrôles de santé des appareils, détection des abus de récupération et règles claires pour les comptes à forte valeur.

Ce que BleepingComputer et

CSO signalent aux défenseurs BleepingComputer a également décrit le problème comme de nouvelles attaques Pass-ta-key permettant à des logiciels malveillants de détourner des clés d’accès synchronisées avec Google. CSO Online a caractérisé la préoccupation plus large comme des problèmes de sécurité des clés d’accès pouvant permettre une prise de contrôle de compte. Ces résumés pointent vers la même destination pratique : les défenseurs devraient traiter le déploiement des clés d’accès comme de l’ingénierie de l’identité, et non comme une cérémonie de suppression des mots de passe avec des amuse-gueules. Neuracybintel énumère des mesures d’atténuation, notamment des correctifs, une protection forte des terminaux et des clés de sécurité matérielles pour les comptes à forte valeur. Ce dernier point mérite d’être souligné sans en faire un talisman. Les clés de sécurité matérielles peuvent réduire l’exposition des comptes les plus importants, mais elles fonctionnent mieux lorsqu’elles sont associées à une gestion disciplinée des terminaux et à des chemins de récupération de compte qui n’annulent pas discrètement le facteur de connexion le plus fort.

Ce que cela signifie réellement pour vous, selon Neuracybintel et SecurityWeek

Si vous êtes un utilisateur, continuez à utiliser les clés d’accès lorsqu’elles sont disponibles. Elles restent une amélioration majeure par rapport aux mots de passe, surtout contre l’hameçonnage. Mais ne les considérez pas comme une autorisation d’ignorer la sécurité de l’appareil : mettez à jour votre navigateur et votre système d’exploitation, surveillez les avertissements de logiciels malveillants et envisagez des clés de sécurité matérielles pour les comptes que vous seriez très malheureux de perdre. Si vous construisez ou défendez des systèmes d’identité, le rapport de SecurityWeek devrait vous pousser à tester tout l’écosystème d’authentification. Demandez-vous ce qui se passe après une compromission du terminal, comment la confiance du navigateur est établie, comment la récupération peut être abusée et si les événements à haut risque sur les comptes nécessitent une revérification plus forte. Les clés d’accès font avancer Internet dans la bonne direction. Le prochain travail consiste à s’assurer que les routes autour d’elles ne sont pas faites de carton mouillé.