I passkey sincronizzati di Google sono al centro di una nuova ricerca sulla sicurezza. Il team Unit 42 di Palo Alto Networks ha identificato tre percorsi di attacco distinti. Questi percorsi, raccolti sotto il nome collettivo Pass-ta-key, mettono a rischio gli ambienti enterprise che usano Google Password Manager su endpoint Windows.
Cosa sono gli attacchi Pass-ta-key
La scoperta di Unit 42
I ricercatori di Unit 42 hanno pubblicato la loro analisi nel 2026. Il punto di partenza è un endpoint Windows già compromesso da malware. Da lì, l’attaccante sfrutta tre flussi distinti: onboarding, recovery e device-trust. Nessuno di questi attacchi rompe la crittografia dei passkey. Al contrario, abusano dei processi che li circondano.
Il risultato più grave è l’estrazione del Security Domain Secret. Questo segreto permette di decifrare tutti i passkey sincronizzati con l’account Google. In pratica, un singolo endpoint compromesso può esporre l’intera identità digitale dell’utente.
Come funziona l’attacco
L’attacco non richiede privilegi elevati. Funziona con i permessi standard di un utente Windows comune. Questo abbassa significativamente la barriera di ingresso per i criminali. Una volta eseguito il malware, l’attaccante può autenticarsi senza interazione dell’utente. Può anche bypassare i requisiti di verifica dell’identità previsti dallo standard passkey.
Il contesto: gli attacchi si spostano “a monte”
Da crittografia a workflow
Questo incidente non è isolato. Si inserisce in un trend più ampio e preoccupante. Gli attaccanti non cercano più di rompere la crittografia dei passkey. Si concentrano invece sui sistemi che li supportano: browser, enrollment, recovery e sincronizzazione cloud.
Parallelamente, altri ricercatori hanno documentato tecniche simili. SquareX ha dimostrato un attacco tramite estensioni malevole del browser. L’attacco manipola il flusso WebAuthn lato client. Proofpoint ha descritto scenari di passkey downgrade contro Microsoft Entra ID. In questi casi, un proxy di phishing forza il browser a usare metodi di autenticazione più deboli come SMS o OTP.
Il ruolo dell’enrollment fraudolento
In particolare, sta emergendo una tattica molto efficace. Gli attaccanti si spacciano per supporto IT. Convincono i dipendenti a registrare un passkey controllato dall’attaccante. Il risultato è un accesso persistente e non autorizzato alle risorse aziendali. Questo tipo di attacco è stato documentato in più settori negli ultimi mesi.
Di conseguenza, il messaggio per i CISO è chiaro. Adottare i passkey riduce alcuni rischi. Ma non elimina l’esposizione agli account takeover. Il perimetro si è semplicemente spostato.
Come difendersi: endpoint, enrollment e device trust
Priorità per i team di sicurezza
La difesa più efficace parte dall’hardening degli endpoint Windows. È lì che inizia la catena di attacco Pass-ta-key. I team di sicurezza devono ridurre i percorsi di esecuzione malware. Devono limitare i privilegi locali degli utenti. Devono anche gestire le estensioni del browser in modo centralizzato.
Inoltre, ogni dispositivo con capacità di sincronizzazione dei passkey va trattato come un asset identitario ad alto valore. Non è sufficiente proteggere le credenziali. Bisogna proteggere il dispositivo che le ospita.
Governance del recovery e dell’enrollment
Tuttavia, l’hardening da solo non basta. I flussi di recovery e di enrollment dei passkey rappresentano il punto più debole. Le organizzazioni devono implementare verifiche aggiuntive per la registrazione di nuovi dispositivi. Serve approvazione out-of-band e identity proofing rigoroso da parte dell’help desk.
Vale la pena sottolineare un’indicazione strategica importante. I passkey hardware-bound, non sincronizzati nel cloud, offrono protezione significativamente maggiore. Le organizzazioni dovrebbero privilegiare modelli di autenticazione che riducono l’esposizione alla sincronizzazione cloud.
Rilevamento e monitoraggio
In questo contesto, il rilevamento diventa fondamentale quanto la prevenzione. I team SOC devono monitorare le registrazioni anomale di autenticatori. Devono allertarsi su nuovi dispositivi che si aggiungono a un account. Devono rilevare comportamenti sospetti durante l’onboarding. Anche quando i passkey sono attivi, un endpoint compromesso può bypassare la verifica utente e riutilizzare sessioni già autenticate.
Conclusione
I passkey sincronizzati rappresentano un passo avanti reale rispetto alle password tradizionali. Ma la ricerca Pass-ta-key dimostra che la superficie d’attacco non è scomparsa. Si è trasformata. Gli attaccanti si adattano rapidamente. Abusano di enrollment, recovery, sincronizzazione e fiducia nel dispositivo. Per i manager e i CISO, la priorità oggi è governare l’intero ecosistema dell’identità digitale. Non solo le credenziali in sé.
Fonti:
- CSO Online – Enterprise passkey security under threat from malware
- Malwarebytes – Google’s synchronized passkeys can be stolen in Pass-ta-key attacks
- Security Arsenal – Google Password Manager passkey hijacking: detect and defend against Pass-ta-key attacks
Fonte: Articolo originale
La ricerca Pass-ta-key conferma che la sicurezza dell’identità digitale non può essere gestita in silos: la condivisione tempestiva di threat intelligence tra organizzazioni è determinante per anticipare vettori di attacco emergenti come quelli che abusano dei flussi di enrollment e sincronizzazione cloud. IsacChain permette alle organizzazioni di condividere in modo sicuro e verificabile informazioni su minacce di questo tipo, supportando al contempo la compliance NIS2 in modo automatizzato e tracciando ogni contributo informativo tramite verifica blockchain. In un contesto in cui i CISO devono governare l’intero ecosistema dell’identità, disporre di intelligence collettiva e auditabile rappresenta un vantaggio operativo concreto. Scopri come IsacChain può aiutare la tua organizzazione su www.isacchain.com