Pass-ta-key : un malware peut détourner vos passkeys Google. Mais il doit déjà être sur votre PC

Les chercheurs de l’Unit 42 de Palo Alto Networks ont divulgué trois attaques visant les passkeys synchronisées via Google Password Manager. Elles ont été signalées à Google avant publication. Les titres sont alarmants, et la recherche sous-jacente est sérieuse.

Mais il y a dans la divulgation une phrase qui change la façon de lire tout le reste, et que la plupart des reprises enterrent : les trois attaques exigent qu’un malware tourne déjà sur l’ordinateur de la victime, et aucune ne casse la cryptographie sur laquelle reposent les passkeys.

Ce n’est pas un détail. Cela déplace tout le problème de « les passkeys sont-elles sûres ? » vers « ma machine est-elle propre ? », c’est-à-dire la question pour laquelle ce site existe.

Les trois attaques, en bref

Elles partagent un mécanisme. Un malware présent sur une machine Windows déjà compromise extrait la clé d’identité, puis utilise les API cryptographiques standard de Windows pour signer les demandes d’authentification exactement comme Chrome le ferait. Rien n’est cassé : l’attaquant emprunte simplement une relation de confiance déjà établie sur ce PC.

• Pass-ta-key prend le contrôle d’un compte protégé par une passkey synchronisée. Sans élévation de privilèges, sans déverrouillage de l’appareil, sans aucune interaction de votre part.
• Silver Pass-ta-key trompe l’authentificateur cloud de Google en lui faisant croire que vous avez déverrouillé l’appareil par biométrie. Le compte est pris sans que votre appareil ne serve à l’authentification.
• Golden Pass-ta-key est la pire des trois : elle extrait toutes vos passkeys synchronisées, sous une forme qui peut être partagée ou vendue sur les marchés d’identifiants.

Les noms reprennent le schéma des attaques Kerberos « silver ticket » et « golden ticket », et pour la même raison : l’une vous ouvre un compte, l’autre vous donne le trousseau.

Pourquoi c’est une histoire de malware, pas de passkeys

On est tenté d’en conclure que les passkeys ont été survendues. C’est la mauvaise leçon, et il vaut la peine de dire précisément pourquoi.

Les passkeys ont été conçues pour vaincre le hameçonnage et la réutilisation d’identifiants, et elles le font toujours. Un attaquant qui vous piège sur une fausse page de connexion n’obtient rien, car la passkey refusera de signer pour le mauvais domaine. Cette propriété n’est pas touchée par cette recherche.

Ce que ces attaques exploitent, c’est une hypothèse différente : que l’appareil qui détient l’identifiant est digne de confiance. Dès qu’un malware s’exécute avec votre compte utilisateur, il hérite d’une grande partie de ce que vous pouvez faire. Cela a toujours été vrai : des cookies de session, des mots de passe enregistrés dans le navigateur, des applications d’authentification. Les passkeys ont nettement relevé le niveau ; elles n’ont pas rendu sûr un PC infecté.

La formulation honnête : une machine compromise est une machine compromise. Tout identifiant qui y réside, sous quelque forme que ce soit, est à portée d’un logiciel qui s’exécute en votre nom.

Ce qu’il faut réellement faire

La réponse n’est pas d’abandonner les passkeys. C’est de prendre le prérequis au sérieux.

Assurez-vous que rien ne tourne déjà. Ces attaques arrivent en aval d’un voleur d’identifiants ou d’un malware similaire. Si vous avez la moindre raison de soupçonner une infection, ralentissements inexpliqués, paramètres du navigateur modifiés tout seuls, outils de sécurité qui ont cessé de fonctionner, un scan propre passe avant tout le reste. Nos guides sur supprimer un malware de Windows et savoir si votre ordinateur a un virus traitent ce point.

Gardez le navigateur et le système à jour. Google a été prévenu, et les faiblesses portent sur la façon dont Chrome et l’authentificateur cloud gèrent la confiance de l’appareil, l’enrôlement, la récupération et les identifiants synchronisés. Les correctifs arrivent dans des mises à jour qu’il faut effectivement installer.

Gardez une clé de sécurité matérielle pour les comptes qui comptent le plus. Une passkey liée à un appareil physique ne peut pas être extraite par logiciel, car la clé privée ne quitte jamais la clé. C’est la seule conception que cette classe d’attaques n’atteint pas.

En résumé

Trois attaques réelles, divulguées de façon responsable, contre une vraie faiblesse dans la gestion de la confiance des appareils pour les passkeys synchronisées. Et un prérequis que les reprises sous-estiment constamment : l’attaquant doit déjà être sur votre PC.

S’il y est, ceci n’est qu’une chose parmi beaucoup d’autres qu’il peut vous faire. C’est pourquoi la réaction utile à cette actualité n’est pas de se méfier des passkeys, mais de s’assurer que la machine en dessous est propre.

Sources

• Palo Alto Networks Unit 42, « Pass the Passkey: A Novel Attack Surface in Passwordless Authentication », rapporté par BleepingComputer, août 2026.