Passkey attacchi sfruttano vulnerabilità di Google per rubare credenziali

Un gruppo di ricercatori ha scoperto nuovi attacchi informatici che sfruttano vulnerabilità nel sistema di autenticazione di Google, permettendo a malware già installato su dispositivi compromessi di rubare le credenziali di passkey. L’attacco, denominato “Pass-ta-key”, permette agli aggressori di impersonare dispositivi fidati, bypassare la verifica utente e recuperare le chiavi private utilizzate per l’autenticazione senza password. L’evento è avvenuto il 3 agosto 2026, con un’analisi approfondita da parte di Unit 42, un team di ricerca di Palo Alto Networks.

Passkey: una soluzione più sicura ma non invulnerabile

Passkey è un metodo di autenticazione senza password che utilizza chiavi criptografiche memorizzate sul dispositivo dell’utente per accedere a account online. Secondo la documentazione di Google, queste chiavi non possono essere condivise, copiate, scritte o accidentalmente consegnate a terzi, rendendole più sicure rispetto alle password tradizionali. Tuttavia, i ricercatori hanno dimostrato che, se un malware è già presente sul dispositivo, è possibile sfruttare le vulnerabilità del sistema per rubare le credenziali. Le chiavi private possono essere recuperate e utilizzate per impersonare l’utente e accedere ai suoi account.

Le tre tecniche di attacco e i loro impatti

Unit 42 ha identificato tre tecniche diverse nell’attacco Pass-ta-key. La prima permette a malware non privilegiato di impersonare un dispositivo fidato e richiedere una risposta di autenticazione valida per una chiave di passkey. Questo può essere fatto senza interazione dell’utente, biometria o sblocco del dispositivo. La seconda tecnica, chiamata Silver Pass-ta-key, permette agli attaccanti di registrare una chiave di verifica utente controllata da loro, bypassando le verifiche di sicurezza. La terza, Golden Pass-ta-key, permette di ottenere la chiave master utilizzata per crittografare tutte le credenziali sincronizzate su Google Password Manager. Questa chiave, se rubata, può essere utilizzata per decifrare future credenziali.

Unit 42 ha segnalato che, nonostante Google abbia rimosso la chiave dal registro di log, essa è comunque temporaneamente accessibile nella memoria del browser. Gli attaccanti possono estrarla se l’utente viene costretto a riconfigurare il dispositivo con il cloud authenticator. L’attacco ha avuto successo su eBay, che non ha correttamente verificato la flag di verifica utente. Dopo la segnalazione, eBay ha risolto il problema. Tuttavia, il team di ricerca ha avvertito che le credenziali di passkey non sono completamente sicure se il malware è già presente sul dispositivo.

Raccomandazioni per migliorare la sicurezza

Unit 42 ha suggerito che i siti web dovrebbero richiedere e verificare correttamente la verifica utente, mentre i gestori di credenziali dovrebbero validare le chiavi dei dispositivi registrati e migliorare i processi di recupero e riconfigurazione. Inoltre, è necessario impedire che le chiavi master diventino accessibili nella memoria del browser. La ricerca ha anche sottolineato che le aziende devono testare ogni livello di sicurezza prima che gli attaccanti lo facciano, poiché le squadre di sicurezza registrano il 54% degli attacchi riusciti, ma ne avvisano solo il 14%. Le simulazioni di attacco possono aiutare a identificare e correggere le vulnerabilità prima che vengano sfruttate.

Google ha ricevuto la segnalazione dei ricercatori, ma non ha ancora fornito una risposta ufficiale. La scoperta ha sollevato preoccupazioni sulle vulnerabilità dei sistemi di autenticazione senza password, anche se i passkey rimangono una soluzione significativamente più sicura rispetto alle password tradizionali. La ricerca ha anche evidenziato l’importanza di continuare a monitorare e migliorare la sicurezza dei sistemi di autenticazione, anche se si utilizzano metodi avanzati come i passkey.