Ataques a passkeys sincronizadas pelo Google Password Manager podem permitir que um invasor com controle do Windows extraia credenciais, crie uma nova passkey ou mantenha acesso a contas. A pesquisa da Unit 42 descreve três caminhos de pós-comprometimento, mas não quebrou a criptografia das passkeys nem permite ataque remoto contra um computador saudável.
Essa diferença é essencial. Passkeys continuam protegendo melhor contra páginas falsas que uma senha digitada, especialmente quando a autenticação verifica corretamente o domínio. O estudo não invalida essa proteção: ele mostra que ataques a passkeys se tornam possíveis depois que malware ou um invasor já domina a sessão do usuário.
Como funcionam os ataques a passkeys
Uma passkey usa criptografia de chave pública. O serviço guarda a parte pública; a chave privada fica protegida no dispositivo ou em um gerenciador sincronizado. O login é vinculado ao domínio correto, por isso uma cópia visual de um site normalmente não recebe a assinatura esperada.
No cenário estudado, o ponto de partida é um Windows já comprometido. A partir desse acesso, os pesquisadores analisaram como o Google Password Manager protege e sincroniza passkeys no ambiente desktop. Os nomes dados aos três caminhos são Pass-ta-key, Silver Pass-ta-key e Golden Pass-ta-key.
| Caminho demonstrado | Consequência | Pré-condição |
|---|---|---|
| Pass-ta-key | Abuso de material disponível no dispositivo | Máquina e contexto do usuário comprometidos |
| Silver Pass-ta-key | Manipulação do fluxo para ampliar o acesso | Controle local e acesso a dados da sessão |
| Golden Pass-ta-key | Persistência por meio de nova credencial | Privilégios e sessão suficientes |
Os detalhes variam, mas a mensagem defensiva é a mesma: o endpoint participa da segurança da identidade. Não existe autenticador forte capaz de compensar indefinidamente um sistema operacional sob controle de outra pessoa.
A pesquisa prova que passkeys são inseguras?
Não. O estudo não demonstra que qualquer pessoa na internet consiga descobrir sua passkey. Também não mostra uma quebra matemática do padrão WebAuthn. Os ataques são classificados como pós-comprometimento: a invasão da máquina ocorre antes do abuso da credencial.
Senhas estariam expostas no mesmo cenário e frequentemente com consequências piores, porque podem ser reutilizadas em vários serviços. A vantagem da passkey contra phishing permanece. O que muda é a expectativa: sincronização oferece conveniência, enquanto chaves de segurança físicas e dispositivos gerenciados podem fornecer separação maior para contas críticas.
O que usuários do Windows devem fazer
- Mantenha Windows, Chrome e componentes do Google Password Manager atualizados.
- Ative proteção contra malware e não ignore alertas de execução ou extensão desconhecida.
- Revise dispositivos, sessões e métodos de login das contas importantes.
- Remova passkeys que você não reconhece e encerre sessões suspeitas.
- Use uma chave física compatível com FIDO2 para contas administrativas ou de alto impacto.
- Evite operar como administrador no uso cotidiano.
Se houver suspeita de comprometimento, não troque credenciais no mesmo computador antes de isolá-lo ou validá-lo. Um malware ativo pode capturar a nova sessão. Use outro dispositivo confiável, revogue acessos e investigue como o invasor entrou.
Medidas para empresas
- Exigir dispositivos gerenciados e em conformidade para sistemas sensíveis.
- Usar autenticação resistente a phishing e políticas de acesso condicional.
- Separar contas administrativas das contas de e-mail e navegação.
- Monitorar cadastro de novos autenticadores, passkeys e dispositivos.
- Revogar tokens de sessão durante a resposta, não apenas redefinir senha.
- Limitar extensões e softwares que podem ser instalados no navegador.
A melhor defesa contra ataques a passkeys inclui detectar a criação de um novo método de autenticação logo após atividade incomum no endpoint. A equipe precisa correlacionar eventos de identidade e dispositivo. Se cada console for analisado isoladamente, a persistência pode parecer uma ação legítima do usuário.
O ChamadoTI também explicou como identidades de agentes e automações ampliam a superfície de acesso. O princípio é semelhante: toda credencial precisa de proprietário, escopo, registro e processo de revogação.
Passkey sincronizada ou chave física?
Para a maioria das contas pessoais, a passkey sincronizada combina boa segurança e recuperação prática. Para administradores, finanças, infraestrutura e cofres de senha, uma chave física dedicada pode reduzir a dependência do computador e da sincronização. Muitas empresas usarão os dois modelos conforme o risco.
Perguntas frequentes
Devo apagar minhas passkeys?
Não por causa deste estudo. Atualize os dispositivos, revise sessões e escolha autenticação mais isolada para contas críticas.
MFA impede todos esses ataques?
Não quando a sessão e o dispositivo já foram comprometidos. MFA reduz risco, mas resposta de endpoint e revogação de tokens continuam necessárias.
Ataques a passkeys já ocorrem em massa?
A publicação descreve pesquisa e caminhos técnicos. Até a verificação desta matéria, não havia confirmação pública de exploração ampla desses métodos específicos.
Fontes
Informações verificadas em 4 de agosto de 2026.
- Unit 42 — riscos pós-comprometimento em autenticação sem senha.
- Unit 42 — análise do Google Password Manager e passkeys.
- Google Developers — documentação de passkeys.
Imagem destacada: criação editorial original com inteligência artificial para o ChamadoTI.
