Alerta de Segurança: Malware Pass-ta-key expõe falhas em passkeys no Google Password Manager para Windows

O malware Pass-ta-key expõe uma verdade incômoda sobre a segurança de passkeys em ambientes Windows: a arquitetura do sistema operacional faz toda a diferença. Enquanto plataformas como iOS, macOS e Android isolam rigorosamente os aplicativos, o Windows, por razões de compatibilidade, oferece um terreno mais fértil para malwares acessarem dados de outras aplicações. O ataque Pass-ta-key se aproveita dessa brecha, simulando um dispositivo iPhone para ativar o recurso de sincronização do Google Password Manager (GPM), conseguindo exfiltrar todas as passkeys armazenadas.

É crucial entender que as especificações FIDO 2, que regem as passkeys, não obrigam o armazenamento em Trusted Platform Modules (TPMs) ou outros enclaves seguros. A maioria das plataformas, com exceção da Microsoft para empresas, armazena passkeys localmente para permitir a sincronização entre dispositivos. Esse é o ponto chave: a segurança da passkey é forte contra phishing e invasões de servidor. Porém, um dispositivo comprometido, especialmente Windows, pode ter seus dados roubados. Este cenário já foi visto em outros ataques a recursos de sincronização, como a notícia de 16 de julho de 2026, que abordou o uso do Chrome Sync para espionagem, e mais recentemente com o CloudZ RAT explorando o Windows Phone Link, conforme reportado em 7 de maio de 2026. A lição é clara: a segurança do endpoint continua sendo a primeira linha de defesa.

A cobertura anterior do CEVIU em 6 de agosto de 2026, sobre os "Novos Ataques 'Pass-ta-Key' Comprometem Passkeys Sincronizadas do Google", introduziu a ameaça. Agora, temos um aprofundamento essencial que desmistifica a crença popular de que passkeys são sempre armazenadas em hardware seguro, como o TPM. O artigo-fonte explica que as especificações FIDO não exigem isso, e a maioria das implementações as guarda localmente para facilitar a sincronização. A nova análise também esclarece que o ataque Pass-ta-key não é um vetor de ataque "novo" às passkeys, mas sim uma exploração de um sistema Windows já comprometido, um risco que existe para qualquer dado sensível em um dispositivo sob controle de um malware. Ou seja, o que era um alerta sobre uma vulnerabilidade específica, agora se contextualiza como parte de um desafio maior na segurança de endpoints.

Para empresas, este incidente reforça a necessidade de estratégias de segurança de endpoint robustas e diferenciadas para ambientes Windows. Controles de acesso rigorosos, soluções antimalware avançadas e a implementação de políticas de privilégios mínimos são indispensáveis. A simples adoção de passkeys não anula a necessidade de proteger o dispositivo onde elas são usadas. Compreender as diferenças na arquitetura de segurança entre sistemas operacionais é fundamental para gestores de TI ao planejar a adoção de novas tecnologias de autenticação.

Para usuários, a notícia serve como um lembrete crítico de que, mesmo com avanços como as passkeys, a higiene digital básica é insubstituível. Manter o sistema operacional e aplicativos atualizados, usar um bom programa antivírus e ser vigilante contra tentativas de phishing são medidas que continuam essenciais. Um dispositivo comprometido, seja Windows ou outro, é uma porta aberta para a exfiltração de dados, independentemente do método de autenticação utilizado.