Análise de ataques a passkeys: malware ainda tem voz

As passkeys são uma daquelas raras melhorias de segurança que realmente merecem aplausos. Elas substituem segredos compartilhados por criptografia de chave pública, tornam o phishing muito mais difícil e poupam os usuários de inventar mais uma senha que parece um teclado que caiu escada abaixo. Então o malware aparece no dispositivo, porque é claro que aparece, e a história organizada do “sem senha” fica mais bagunçada. A SecurityWeek relata que novos métodos de ataque podem permitir que malware sequestre contas protegidas por passkeys. A lição útil não é que as passkeys estão quebradas. É que a arquitetura de autenticação não termina na tela de login, especialmente quando o endpoint, o navegador e os mecanismos de recuperação ainda fazem parte da cadeia de confiança.

O que a SecurityWeek diz

que aconteceu A SecurityWeek apresenta o problema de forma direta: novos métodos permitem que malware sequestre contas protegidas por passkeys. Isso importa porque as passkeys vêm sendo promovidas como a tão esperada sucessora das senhas, e por um bom motivo. Como a Neuracybintel explica, as passkeys são construídas em torno de autenticação resistente a phishing usando criptografia de chave pública, credenciais vinculadas ao dispositivo e verificação do usuário baseada em biometria ou PIN.

O detalhe, segundo a Neuracybintel, é a pré-condição: o malware já está rodando em uma máquina Windows. Isso não é uma quebra mágica do modelo de passkeys feita do outro lado da internet. É aquele velho filme de terror da segurança em que o monstro já está dentro da casa, só que agora a casa tem sincronização em nuvem, confiança do navegador e fluxos de recuperação de conta com opiniões muito fortes.

O trio Pass-ta-key, segundo a Neuracybintel

A Neuracybintel diz que pesquisadores da Unit 42 da Palo Alto Networks descreveram três técnicas relacionadas apelidadas de Pass-ta-key. A pesquisa trata de passkeys sincronizadas pelo Gerenciador de Senhas do Google no Chrome no Windows. Os métodos podem permitir que malware sem privilégios, com um TPM, sequestre passkeys sincronizadas pelo Gerenciador de Senhas do Google ao se passar pelo dispositivo, contornar a verificação do usuário ou extrair o segredo mestre.

Essa formulação é importante. A Neuracybintel enfatiza que não ocorre nenhuma quebra criptográfica. O abuso fica ao redor da confiança no Chrome e no autenticador em nuvem, além dos fluxos de recuperação após o comprometimento do endpoint. Em outras palavras, a porta do cofre pode ser sólida, mas o prédio ainda tem docas de carga, leitores de crachá e uma mesa de recuperação sonolenta chamada Gary.

A motivação do agente de ameaça aqui é deprimente de tão comum: acesso duradouro. A Neuracybintel alerta para o potencial de roubo de contas de longo prazo e entre dispositivos. Esse é o tipo de persistência de que invasores gostam porque transforma uma máquina comprometida em uma forma de alcançar contas além daquela máquina, exatamente o tipo de desenvolvimento de enredo que defensores preferem cancelar antes da segunda temporada.

A pesquisa da Unit 42 muda a conversa de design A própria página

de pesquisa da Unit 42 lista Arie Olshtein como autor de “Pass the Passkey: A Novel Attack Surface in Passwordless Authentication”, publicado em 3 de agosto de 2026. O título carrega bastante peso: o risco não é a autenticação sem senha como uma ideia fracassada, mas a autenticação sem senha como uma superfície de ataque mais ampla. Essa é a parte que as equipes de produto deveriam escrever em um quadro branco antes que alguém compre um bolo comemorativo.

A conclusão arquitetural é que as passkeys reduzem uma grande classe de risco de login, especialmente phishing, mas não eliminam a necessidade de defender o dispositivo e todo o ciclo de vida da conta ao redor. A proteção de endpoint importa porque as técnicas descritas começam depois do comprometimento local. Controles de sessão do navegador e o endurecimento do navegador importam porque a pesquisa se concentra no Chrome e na confiança no autenticador em nuvem. O design dos fluxos de recuperação importa porque a Neuracybintel aponta especificamente os fluxos de recuperação como parte do caminho de abuso.

É aqui que o placar da segurança fica injusto, mas útil. Fornecedores podem entregar autenticação mais forte e ainda assim ficar expostos pelo tecido de confiança ao redor. Isso não torna as passkeys um mau investimento. Isso faz delas um controle sério que precisa ser implantado com os companheiros entediantes que continuam nos salvando de nós mesmos: correções, verificações de integridade do dispositivo, detecção de abuso de recuperação e regras claras para contas de alto valor.

O que a BleepingComputer e

a CSO sinalizam para defensores A BleepingComputer também descreveu o problema como novos ataques Pass-ta-key que permitem que malware sequestre passkeys sincronizadas com o Google. A CSO Online caracterizou a preocupação mais ampla como problemas de segurança em passkeys que poderiam permitir a tomada de controle de contas. Esses resumos apontam para o mesmo destino prático: defensores devem tratar a implantação de passkeys como engenharia de identidade, não como uma cerimônia de remoção de senhas com lanchinhos.

A Neuracybintel lista mitigações que incluem correções, proteção forte de endpoint e chaves de segurança de hardware para contas de alto valor. Esse último ponto merece ser sublinhado sem transformá-lo em um talismã. Chaves de segurança de hardware podem reduzir a exposição das contas mais importantes, mas funcionam melhor quando combinadas com gerenciamento disciplinado de endpoints e caminhos de recuperação de conta que não desfaçam silenciosamente o fator de login mais forte.

O que isso realmente significa para você, segundo

a Neuracybintel e a SecurityWeek Se você é usuário, continue usando passkeys onde elas estiverem disponíveis. Elas continuam sendo uma grande melhoria em relação às senhas, especialmente contra phishing. Mas não as trate como permissão para ignorar a segurança do dispositivo: atualize seu navegador e sistema operacional, fique atento a alertas de malware e considere chaves de segurança de hardware para contas que você ficaria muito triste em perder.

Se você constrói ou defende sistemas de identidade, o relatório da SecurityWeek deve levar você a testar todo o ecossistema de autenticação. Pergunte o que acontece após o comprometimento do endpoint, como a confiança do navegador é estabelecida, como a recuperação pode ser abusada e se eventos de conta de alto risco precisam de uma reverificação mais forte.

As passkeys movem a internet na direção certa. O próximo trabalho é garantir que as estradas ao redor delas não sejam feitas de papelão molhado.