Pass-ta-key: um malware pode sequestrar as suas passkeys da Google. Mas primeiro tem de estar no seu PC

Investigadores da Unit 42 da Palo Alto Networks divulgaram três ataques às passkeys sincronizadas através do Gestor de Palavras-passe da Google. Foram comunicados à Google antes da publicação. Os títulos são alarmantes e a investigação de fundo é séria.

Mas há na divulgação uma frase que muda a forma de ler tudo o resto, e que a maioria das notícias enterra: os três ataques exigem que já haja malware em execução no computador da vítima, e nenhum deles quebra a criptografia em que as passkeys assentam.

Não é um pormenor. Desloca todo o problema de «as passkeys são seguras?» para «a minha máquina está limpa?», que é precisamente a pergunta para a qual este site existe.

Os três ataques, em resumo

Partilham um mecanismo. O malware presente numa máquina Windows já comprometida extrai a chave de identidade e depois usa as API criptográficas padrão do Windows para assinar os pedidos de autenticação exatamente como o Chrome faria. Nada é quebrado; o atacante limita-se a pedir emprestada uma relação de confiança que já existia naquele PC.

• Pass-ta-key assume o controlo de uma conta protegida por uma passkey sincronizada. Sem elevação de privilégios, sem desbloquear o dispositivo, sem qualquer interação sua.
• Silver Pass-ta-key engana o autenticador na nuvem da Google, levando-o a crer que desbloqueou o dispositivo com biometria. A conta é tomada sem que o seu dispositivo participe na autenticação.
• Golden Pass-ta-key é o pior dos três: extrai todas as suas passkeys sincronizadas, numa forma que pode ser partilhada ou vendida em mercados de credenciais.

Os nomes seguem o padrão dos ataques Kerberos «silver ticket» e «golden ticket», e pela mesma razão: um mete-o numa conta, o outro entrega-lhe o molho de chaves.

Porque isto é uma história de malware e não de passkeys

É tentador concluir que as passkeys foram vendidas em excesso. É a lição errada, e vale a pena dizer com precisão porquê.

As passkeys foram concebidas para derrotar o phishing e a reutilização de credenciais, e continuam a fazê-lo. Um atacante que o engane numa página de início de sessão falsa não obtém nada, porque a passkey não assina para o domínio errado. Essa propriedade fica intacta após esta investigação.

O que estes ataques exploram é outro pressuposto: o de que o dispositivo onde a credencial reside é de confiança. A partir do momento em que um malware corre com a sua conta de utilizador, herda boa parte do que o utilizador pode fazer. Isto sempre foi verdade: com os cookies de sessão, com as palavras-passe guardadas no navegador, com as aplicações de autenticação. As passkeys elevaram muito a fasquia; não tornaram seguro um PC infetado.

A formulação honesta: uma máquina comprometida é uma máquina comprometida. Qualquer credencial que lá viva, seja em que formato for, está ao alcance de software que corre em seu nome.

O que fazer realmente

A resposta não é abandonar as passkeys. É levar o pré-requisito a sério.

Certifique-se de que não há já algo a correr. Estes ataques vêm a jusante de um ladrão de credenciais ou de malware semelhante. Se tem alguma razão para suspeitar de uma infeção, lentidões inexplicáveis, definições do navegador que mudaram sozinhas, ferramentas de segurança que deixaram de funcionar, uma análise limpa vem antes de tudo o resto. Os nossos guias sobre remover malware do Windows e sobre como saber se o computador tem um vírus tratam disso.

Mantenha o navegador e o sistema atualizados. A Google foi avisada, e as fragilidades estão na forma como o Chrome e o autenticador na nuvem gerem a confiança do dispositivo, a adesão, a recuperação e as credenciais sincronizadas. As correções chegam em atualizações que é preciso instalar de facto.

Guarde uma chave de segurança física para as contas que mais importam. Uma passkey ligada a um dispositivo físico não pode ser extraída por software, porque a chave privada nunca sai da chave. É a única arquitetura que esta classe de ataques não alcança.

Em resumo

Três ataques reais, divulgados de forma responsável, contra uma fragilidade verdadeira na forma como as passkeys sincronizadas gerem a confiança do dispositivo. E um pré-requisito que a cobertura não para de minimizar: o atacante já tem de estar no seu PC.

Se estiver, isto é uma das muitas coisas que lhe pode fazer. É por isso que a reação útil a esta notícia não é desconfiar das passkeys, mas garantir que a máquina por baixo está limpa.

Fontes

• Palo Alto Networks Unit 42, «Pass the Passkey: A Novel Attack Surface in Passwordless Authentication», noticiado pela BleepingComputer, agosto de 2026.