पासकी हमलों का विश्लेषण: मैलवेयर की अब भी भूमिका है

पासकी उन दुर्लभ सुरक्षा सुधारों में से हैं जिनकी सच में तारीफ़ होनी चाहिए। वे साझा सीक्रेट्स की जगह पब्लिक की क्रिप्टोग्राफी लाती हैं, फ़िशिंग को बहुत कठिन बनाती हैं, और उपयोगकर्ताओं को एक और ऐसा पासवर्ड गढ़ने से बचाती हैं जो ऐसा लगे जैसे कीबोर्ड सीढ़ियों से गिर गया हो। फिर डिवाइस पर मैलवेयर आ जाता है, क्योंकि ज़ाहिर है ऐसा ही होता है, और साफ-सुथरी पासवर्डलेस कहानी थोड़ी उलझ जाती है। SecurityWeek रिपोर्ट करता है कि नए हमले के तरीके मैलवेयर को पासकी-सुरक्षित खातों को हाईजैक करने दे सकते हैं। उपयोगी सीख यह नहीं है कि पासकी टूट गई हैं। सीख यह है कि ऑथेंटिकेशन आर्किटेक्चर लॉगिन प्रॉम्प्ट पर खत्म नहीं होता, खासकर जब एंडपॉइंट, ब्राउज़र और रिकवरी सिस्टम अभी भी भरोसे की श्रृंखला का हिस्सा हों।

SecurityWeek के अनुसार क्या हुआ

SecurityWeek इस मुद्दे को सीधे शब्दों में रखता है: नए तरीके मैलवेयर को पासकी-सुरक्षित खातों को हाईजैक करने में सक्षम बनाते हैं। यह महत्वपूर्ण है क्योंकि पासकी को पासवर्ड के लंबे समय से प्रतीक्षित उत्तराधिकारी के रूप में बढ़ावा दिया गया है, और इसके अच्छे कारण हैं। जैसा कि Neuracybintel समझाता है, पासकी पब्लिक की क्रिप्टोग्राफी, डिवाइस-बाउंड क्रेडेंशियल्स, और बायोमेट्रिक या PIN आधारित यूज़र वेरिफिकेशन का उपयोग करके फ़िशिंग-प्रतिरोधी ऑथेंटिकेशन पर आधारित होती हैं।

Neuracybintel के अनुसार अड़चन यह है कि इसकी पूर्व-शर्त मौजूद है: मैलवेयर पहले से ही Windows मशीन पर चल रहा है। यह इंटरनेट के पार से पासकी मॉडल को जादुई तरीके से तोड़ना नहीं है। यह वही पुरानी सुरक्षा हॉरर फ़िल्म है जिसमें राक्षस पहले से घर के अंदर है, बस अब उस घर में क्लाउड सिंक, ब्राउज़र ट्रस्ट, और अकाउंट रिकवरी वर्कफ़्लो हैं जिनकी अपनी बहुत मज़बूत राय है।

Neuracybintel के अनुसार Pass-ta-key तिकड़ी

Neuracybintel कहता है कि Palo Alto Networks Unit 42 के शोधकर्ताओं ने Pass-ta-key नाम से तीन संबंधित तकनीकों का वर्णन किया। शोध Windows पर Chrome में Google Password Manager द्वारा सिंक की गई पासकी से जुड़ा है। ये तरीके TPM वाले अनप्रिविलेज्ड मैलवेयर को डिवाइस का रूप धारण करके, यूज़र वेरिफिकेशन को बायपास करके, या मास्टर सीक्रेट निकालकर Google Password Manager की सिंक की गई पासकी को हाईजैक करने दे सकते हैं।

यह शब्दावली महत्वपूर्ण है। Neuracybintel ज़ोर देता है कि कोई क्रिप्टोग्राफिक ब्रेक नहीं होता। दुरुपयोग Chrome और क्लाउड ऑथेंटिकेटर ट्रस्ट, साथ ही एंडपॉइंट के समझौता हो जाने के बाद रिकवरी फ़्लो के आसपास बैठता है। दूसरे शब्दों में, तिजोरी का दरवाज़ा मज़बूत हो सकता है, लेकिन इमारत में अभी भी लोडिंग बे, बैज रीडर, और Gary नाम का एक नींद में डूबा रिकवरी डेस्क मौजूद है।

यहाँ हमलावर की प्रेरणा निराशाजनक रूप से सामान्य है: टिकाऊ पहुँच। Neuracybintel संभावित लंबे समय तक चलने वाली, क्रॉस-डिवाइस अकाउंट चोरी की चेतावनी देता है। यह वही तरह की पर्सिस्टेंस है जिसे हमलावर पसंद करते हैं, क्योंकि यह एक समझौता हुई मशीन को उस मशीन से परे खातों तक पहुँचने का रास्ता बना देती है, और यही वह कहानी का मोड़ है जिसे डिफेंडर सीज़न दो से पहले ही रद्द कर देना पसंद करेंगे।

Unit 42 का शोध डिज़ाइन चर्चा को बदलता है

Unit 42 के अपने शोध पेज पर “Pass the Passkey: A Novel Attack Surface in Passwordless Authentication” के लेखक के रूप में Arie Olshtein का नाम है, जो 3 अगस्त 2026 को प्रकाशित हुआ। शीर्षक बहुत काम कर रहा है: जोखिम यह नहीं है कि पासवर्डलेस ऑथेंटिकेशन एक असफल विचार है, बल्कि यह है कि पासवर्डलेस ऑथेंटिकेशन एक व्यापक अटैक सरफ़ेस भी है। यह वही हिस्सा है जिसे प्रोडक्ट टीमों को व्हाइटबोर्ड पर लिख लेना चाहिए, इससे पहले कि कोई जश्न का केक खरीद ले।

आर्किटेक्चरल सीख यह है कि पासकी लॉगिन जोखिम की एक बड़ी श्रेणी, खासकर फ़िशिंग, को कम करती हैं, लेकिन वे डिवाइस और आसपास के अकाउंट लाइफ़साइकिल की रक्षा करने की ज़रूरत को समाप्त नहीं करतीं। एंडपॉइंट सुरक्षा मायने रखती है क्योंकि बताई गई तकनीकें लोकल समझौते के बाद शुरू होती हैं। ब्राउज़र सेशन कंट्रोल और ब्राउज़र हार्डनिंग मायने रखते हैं क्योंकि शोध Chrome और क्लाउड ऑथेंटिकेटर ट्रस्ट पर केंद्रित है। रिकवरी फ़्लो डिज़ाइन मायने रखता है क्योंकि Neuracybintel खास तौर पर रिकवरी फ़्लो को दुरुपयोग पथ का हिस्सा बताता है।

यहीं सुरक्षा स्कोरबोर्ड थोड़ा अनुचित लेकिन उपयोगी हो जाता है। वेंडर मज़बूत ऑथेंटिकेशन दे सकते हैं और फिर भी आसपास के ट्रस्ट फ़ैब्रिक से उजागर हो सकते हैं। इसका मतलब यह नहीं कि पासकी खराब निवेश हैं। इसका मतलब है कि वे एक गंभीर कंट्रोल हैं जिन्हें उन उबाऊ साथियों के साथ लागू करना होगा जो हमें बार-बार खुद से बचाते रहते हैं: पैचिंग, डिवाइस हेल्थ चेक, रिकवरी दुरुपयोग की पहचान, और उच्च-मूल्य खातों के लिए स्पष्ट नियम।

BleepingComputer और CSO डिफेंडरों के लिए क्या संकेत देते हैं

BleepingComputer ने भी इस मुद्दे को नए Pass-ta-key हमलों के रूप में बताया, जो मैलवेयर को Google-सिंक की गई पासकी हाईजैक करने देते हैं। CSO Online ने व्यापक चिंता को पासकी सुरक्षा समस्याओं के रूप में वर्णित किया, जो अकाउंट टेकओवर की अनुमति दे सकती हैं। ये सारांश उसी व्यावहारिक मंज़िल की ओर इशारा करते हैं: डिफेंडरों को पासकी रोलआउट को आइडेंटिटी इंजीनियरिंग की तरह देखना चाहिए, न कि स्नैक्स के साथ पासवर्ड हटाने की रस्म की तरह।

Neuracybintel ने जिन बचावों की सूची दी है उनमें पैच, मज़बूत एंडपॉइंट सुरक्षा, और उच्च-मूल्य खातों के लिए हार्डवेयर सुरक्षा कुंजियाँ शामिल हैं। आखिरी बात को तावीज़ बनाए बिना रेखांकित करना ठीक रहेगा। हार्डवेयर सुरक्षा कुंजियाँ सबसे महत्वपूर्ण खातों के जोखिम को कम कर सकती हैं, लेकिन वे तब सबसे अच्छा काम करती हैं जब उनके साथ अनुशासित एंडपॉइंट मैनेजमेंट और ऐसे अकाउंट रिकवरी पथ हों जो चुपचाप सबसे मज़बूत लॉगिन फ़ैक्टर को बेअसर न कर दें।

Neuracybintel और SecurityWeek के अनुसार आपके लिए इसका असल मतलब क्या है

अगर आप उपयोगकर्ता हैं, तो जहाँ उपलब्ध हों वहाँ पासकी का उपयोग करते रहें। वे पासवर्ड की तुलना में अब भी बड़ा सुधार हैं, खासकर फ़िशिंग के खिलाफ। लेकिन उन्हें डिवाइस सुरक्षा को नज़रअंदाज़ करने की अनुमति न समझें: अपना ब्राउज़र और ऑपरेटिंग सिस्टम अपडेट करें, मैलवेयर चेतावनियों पर ध्यान दें, और उन खातों के लिए हार्डवेयर सुरक्षा कुंजियों पर विचार करें जिन्हें खोना आपके लिए बहुत दुखद होगा।

अगर आप आइडेंटिटी सिस्टम बनाते हैं या उनकी रक्षा करते हैं, तो SecurityWeek की रिपोर्ट आपको पूरे ऑथेंटिकेशन इकोसिस्टम की जाँच करने के लिए प्रेरित करनी चाहिए। पूछें कि एंडपॉइंट समझौता होने के बाद क्या होता है, ब्राउज़र ट्रस्ट कैसे स्थापित होता है, रिकवरी का दुरुपयोग कैसे हो सकता है, और क्या उच्च-जोखिम अकाउंट घटनाओं के लिए मज़बूत री-वेरिफिकेशन चाहिए।

पासकी इंटरनेट को सही दिशा में ले जाती हैं। अगला काम यह सुनिश्चित करना है कि उनके आसपास की सड़कें गीले कार्डबोर्ड की न बनी हों।