Novos Ataques 'Pass-ta-Key' Comprometem Passkeys Sincronizadas do Google

A Unidade 42 da Palo Alto Networks expôs três novas táticas, batizadas de 'Pass-ta-key', que redefinem a segurança das passkeys no ecossistema Google. Os ataques exploram vulnerabilidades em dispositivos Windows equipados com Trusted Platform Module (TPM), comprometendo as chaves de acesso sincronizadas do Google Password Manager. Para que o ataque ocorra, é preciso que um malware já esteja ativo na máquina da vítima, o que ressalta a importância de reforçar a segurança de endpoint, tema abordado em nossa cobertura de 11 de julho de 2026 sobre novas táticas de escalada de privilégios no Windows. As técnicas permitem que invasores simulem um dispositivo confiável, registrem chaves de verificação maliciosas ou, o mais crítico, extraiam a chave mestra que protege todas as passkeys do usuário.

A Palo Alto Networks, que em 16 de junho de 2026 já havia confirmado a exploração ativa de uma falha crítica em sua GlobalProtect, demonstra novamente seu papel fundamental na identificação de ameaças sofisticadas. Os ataques 'Pass-ta-key' não quebram a criptografia das passkeys. Em vez disso, eles se aproveitam de falhas na forma como o Chrome e o autenticador em nuvem do Google lidam com a confiança do dispositivo, registro e recuperação de credenciais sincronizadas. Isso se alinha a preocupações anteriores do CEVIU, como a revelada em 16 de julho de 2026, que mostrava o recurso Chrome Sync sendo explorado para stalking, indicando uma recorrência de vulnerabilidades em serviços sincronizados do Google quando o endpoint está comprometido. A principal mitigação para os ataques 'Pass-ta-key' depende de os serviços exigirem e validarem corretamente o flag de 'Usuário Verificado'.

A evolução aqui é clara: enquanto a criptografia inerente aos passkeys continua robusta, a descoberta da Unidade 42 da Palo Alto Networks revela novos vetores de ataque que exploram as *implementações* e *interações* com o endpoint. Anteriormente, passkeys eram vistas como virtualmente imunes a phishing. Agora, fica evidente que o comprometimento do dispositivo via malware abre caminho para burlar essa segurança.

Houve uma ação direta do Google: após o relatório, a empresa removeu o segredo do domínio de segurança (security domain secret), a chave mestra das passkeys, dos logs internos do FIDO no Chrome. No entanto, o segredo ainda é enviado e permanece temporariamente acessível na memória do processo do navegador, demonstrando que a batalha pela segurança é contínua e exige mais refinamentos.

Para empresas e usuários, estes ataques redefinem o modelo de confiança das passkeys. A promessa de um futuro sem senhas é desafiada pela necessidade persistente de uma segurança de endpoint impecável. A extração da chave mestra (Golden Pass-ta-key) significa que um único ponto de falha pode comprometer todas as identidades digitais de um usuário, exigindo uma reavaliação urgente das políticas de segurança.

Este caso enfatiza a responsabilidade compartilhada: enquanto o Google trabalha para proteger seu ecossistema, os provedores de serviços devem garantir que suas validações (como a do flag 'Usuário Verificado') sejam robustas. Ignorar isso é expor seus clientes a riscos substanciais. Para governos e empresas, a lição é clara: invistam pesado em defesa de endpoint e auditorias de segurança contínuas, pois a superfície de ataque evolui constantemente.