Pass-ta-key: un malware può dirottare le tue passkey Google. Ma prima deve essere sul tuo PC

I ricercatori di Unit 42 di Palo Alto Networks hanno divulgato tre attacchi contro le passkey sincronizzate tramite Gestore delle password di Google. Sono stati segnalati a Google prima della pubblicazione. I titoli sono allarmanti e la ricerca alla base è seria.

Ma nella divulgazione c’è una frase che cambia il modo di leggere tutto il resto, e che quasi tutte le riprese seppelliscono: tutti e tre gli attacchi richiedono che un malware sia già in esecuzione sul computer della vittima, e nessuno rompe la crittografia su cui si basano le passkey.

Non è un dettaglio. Sposta l’intero problema da « le passkey sono sicure? » a « la mia macchina è pulita? », che è esattamente la domanda per cui questo sito esiste.

I tre attacchi, in breve

Condividono un meccanismo. Un malware presente su una macchina Windows già compromessa estrae la chiave d’identità e poi usa le API crittografiche standard di Windows per firmare le richieste di autenticazione esattamente come farebbe Chrome. Nulla viene forzato: l’attaccante prende semplicemente in prestito una relazione di fiducia già stabilita su quel PC.

• Pass-ta-key prende il controllo di un account protetto da una passkey sincronizzata. Senza elevazione di privilegi, senza sbloccare il dispositivo, senza alcuna interazione da parte tua.
• Silver Pass-ta-key inganna l’autenticatore cloud di Google facendogli credere che tu abbia sbloccato il dispositivo con la biometria. L’account viene preso senza che il tuo dispositivo partecipi all’autenticazione.
• Golden Pass-ta-key è il peggiore dei tre: estrae tutte le tue passkey sincronizzate, in una forma che può essere condivisa o venduta sui mercati delle credenziali.

I nomi seguono lo schema degli attacchi Kerberos « silver ticket » e « golden ticket », e per la stessa ragione: uno ti fa entrare in un account, l’altro ti consegna il mazzo di chiavi.

Perché è una storia di malware, non di passkey

Viene da concludere che le passkey siano state sopravvalutate. È la lezione sbagliata, e vale la pena dire con precisione perché.

Le passkey sono state progettate per sconfiggere il phishing e il riutilizzo delle credenziali, e continuano a farlo. Un attaccante che ti inganna su una falsa pagina di accesso non ottiene nulla, perché la passkey non firmerà per il dominio sbagliato. Questa proprietà non è toccata da questa ricerca.

Ciò che questi attacchi sfruttano è un’altra ipotesi: che il dispositivo su cui risiede la credenziale sia affidabile. Non appena un malware gira con il tuo account utente, eredita gran parte di ciò che puoi fare tu. È sempre stato vero: per i cookie di sessione, per le password salvate nel browser, per le app di autenticazione. Le passkey hanno alzato molto l’asticella; non hanno reso sicuro un PC infetto.

La formulazione onesta: una macchina compromessa è una macchina compromessa. Qualunque credenziale vi risieda, in qualsiasi forma, è alla portata di un software che gira a tuo nome.

Cosa fare davvero

La risposta non è abbandonare le passkey. È prendere sul serio il prerequisito.

Assicurati che non ci sia già qualcosa in esecuzione. Questi attacchi vengono a valle di un infostealer o di malware simile. Se hai un qualsiasi motivo di sospettare un’infezione, rallentamenti inspiegabili, impostazioni del browser cambiate da sole, strumenti di sicurezza che hanno smesso di funzionare, una scansione pulita viene prima di tutto il resto. Le nostre guide su rimuovere malware da Windows e su come capire se il computer ha un virus trattano proprio questo.

Tieni browser e sistema aggiornati. Google è stata avvisata, e le debolezze riguardano il modo in cui Chrome e l’autenticatore cloud gestiscono la fiducia del dispositivo, l’onboarding, il ripristino e le credenziali sincronizzate. Le correzioni arrivano in aggiornamenti che vanno effettivamente installati.

Tieni una chiave di sicurezza hardware per gli account che contano di più. Una passkey legata a un dispositivo fisico non può essere estratta via software, perché la chiave privata non lascia mai la chiavetta. È l’unica architettura che questa classe di attacchi non raggiunge.

In sintesi

Tre attacchi reali, divulgati responsabilmente, contro una debolezza vera nel modo in cui le passkey sincronizzate gestiscono la fiducia del dispositivo. E un prerequisito che le riprese continuano a sminuire: l’attaccante deve essere già sul tuo PC.

Se ci è, questa è una delle tante cose che può farti. Ecco perché la reazione utile a questa notizia non è diffidare delle passkey, ma assicurarsi che la macchina sottostante sia pulita.

Fonti

• Palo Alto Networks Unit 42, « Pass the Passkey: A Novel Attack Surface in Passwordless Authentication », riportato da BleepingComputer, agosto 2026.