Três pesquisas divulgadas na semana passada mostraram formas de burlar as proteções das passkeys sem quebrar a criptografia sobre a qual elas se apoiam.
As passkeys foram projetadas para substituir senhas reutilizáveis e resistir a phishing. Os ataques, em vez disso, reutilizaram material de autenticação assinado que o Windows havia exposto, abusaram de um sistema de passkeys sincronizadas na nuvem a partir de malware já presente na máquina da vítima e usaram uma chave do Windows Hello for Business a partir de uma sessão de usuário comprometida, sem nova verificação por PIN ou biometria. Nenhuma quebrou a matemática por trás do esquema.
O impacto não é o mesmo nos três casos.
- A SpecterOps mostrou uma cadeia de ataques no Windows e no Microsoft Entra ID capaz de se passar por usuários privilegiados e, ao mesmo tempo, atender aos requisitos de MFA (Autenticação Multifator, na sigla em inglês) resistente a phishing; a cadeia reutilizou material de autenticação assinado em vez de roubar a chave privada do autenticador.
- A Unit 42 apresentou ataques contra o Google Password Manager no Chrome, incluindo um caminho que recupera as chaves privadas das passkeys sincronizadas da vítima.
- O pesquisador independente Dirk-jan Mollema mostrou que malware em execução em uma sessão autenticada do Windows consegue usar uma chave do Windows Hello for Business vinculada a hardware sem pedir que o usuário a desbloqueie novamente.
As correções e mitigações também são diferentes. A vulnerabilidade de registro do Windows, CVE-2026-34348, recebeu pontuação CVSS 6.5 e já tem atualização de segurança da Microsoft. A Microsoft disse ao The Hacker News que também aplicou mitigações para o problema relatado envolvendo assertivas de repasse de passkey.
O guia de migração do Entra, atualizado pela última vez em 3 de agosto de 2026, continua descrevendo as passkeys como resistentes a ataques de repetição (replay). O aviso público da Microsoft ligado à CVE-2026-34348 trata do problema no Windows Event Logging Service, enquanto a resposta da empresa não trouxe detalhes técnicos sobre o alcance das mitigações adicionais no lado do Entra.
"Agradecemos o trabalho da SpecterOps por relatar a falha por meio de uma divulgação coordenada de vulnerabilidade. Aplicamos mitigações para o problema relatado envolvendo assertivas de repasse de passkey e seguimos investindo em melhorias de segurança em todos os métodos de autenticação. Recomendamos adotar uma abordagem de acesso com menor privilégio, usar métodos de autenticação resistentes a phishing e manter a proteção dos endpoints ao adotar um modelo de segurança de Zero Trust (Confiança Zero) para uma proteção mais robusta", disse um porta-voz da Microsoft ao The Hacker News.
As descobertas da Unit 42 e de Mollema também mostram por que nenhuma escolha isolada entre passkeys sincronizadas e vinculadas a dispositivo fecha a superfície de ataque mais ampla.
O The Hacker News também procurou a SpecterOps para obter mais detalhes sobre os testes mais recentes e atualizará esta reportagem com qualquer retorno.
O login que o Windows guardou
O pesquisador principal de segurança da SpecterOps, Michael Grafnetter, apresentou a pesquisa Pass-the-Passkey na Black Hat USA 2026, em 5 de agosto.
A SpecterOps afirma que o Windows armazenou assinaturas antigas de YubiKey em texto claro, em local acessível a usuários autenticados sem privilégios, inclusive remotos. Segundo a empresa, encadear essas assinaturas com fragilidades na validação de passkeys do Microsoft Entra ID possibilitou a personificação de usuários privilegiados, mesmo com políticas que exigem MFA resistente a phishing.
O problema no Windows é registrado como CVE-2026-34348, uma vulnerabilidade de divulgação de informação no Windows Event Logging Service. A lista de produtos afetados da Microsoft abrange versões do Windows 10, Windows 11 e Windows Server. O escopo de produtos da CVE não confirma que a cadeia completa de ataque com passkeys demonstrada pela SpecterOps funcione de forma idêntica em todas as versões listadas do Windows.
Nesta cadeia, o atacante não precisa extrair a chave privada de um YubiKey ou de outro autenticador. O material perigoso é uma assinatura já gerada que o Windows reteve e que, segundo a SpecterOps, foi aceita pelo Entra ID na cadeia de repetição. Trata-se de uma falha mais restrita do que quebrar o FIDO2, mas que ainda pode entregar o resultado que mais importa aos defensores: um atacante se autenticando como outra pessoa.
A chave mestra por trás das passkeys sincronizadas do Google
A pesquisa Pass-ta-key, da Unit 42, tem como alvo o sistema de passkeys sincronizadas do Google Password Manager no Chrome em Windows. Os três ataques descritos pela equipe começam com malware já em execução no endpoint da vítima, sem exigir escalonamento de privilégios em nível de administrador.
O primeiro caminho explora o mecanismo de identidade de dispositivo do Chrome para obter as assinaturas necessárias para se passar por um cliente legítimo do Google Password Manager, sem novo desbloqueio do dispositivo nem interação do usuário. A Unit 42 demonstrou a técnica contra o eBay, mesmo com o site exigindo verificação do usuário; depois que os pesquisadores relataram o problema, o eBay alterou a validação do sinalizador de verificação de usuário do WebAuthn.
A variante mais destrutiva, chamada Golden Pass-ta-key, mira o Security Domain Secret, uma chave mestra de 32 bytes usada para proteger as passkeys sincronizadas. A Unit 42 primeiro identificou o segredo exposto nos registros de dispositivo do Chrome. O Google removeu a informação desses registros após a notificação, mas os pesquisadores afirmam que o segredo ainda fica temporariamente presente na memória do processo do Chrome durante o re-registro. Com essa chave em mãos, um atacante pode recuperar as chaves privadas das passkeys sincronizadas da vítima.
A Unit 42 diz que a implementação atual do Google não oferece nenhuma forma de rotacionar ou revogar o Security Domain Secret. Isso torna o comprometimento mais persistente do que um único login capturado.
Usando o Windows Hello sem o PIN
A pesquisa de Mollema se concentra no Windows Hello for Business. Na maioria dos dispositivos Windows modernos, sua chave de apoio é protegida pelo TPM (Trusted Platform Module, ou Módulo de Plataforma Confiável) e não pode ser simplesmente exportada. Mesmo assim, softwares em execução na sessão da vítima conseguem usar essa chave não exportável.
Mollema descobriu que um processo com poucos privilégios em uma sessão de usuário já comprometida consegue chamar interfaces criptográficas do Windows para usar a chave do Windows Hello for Business sem disparar um novo prompt de PIN ou biometria. Em seguida, ele usou a chave como credencial FIDO2 contra o Microsoft Entra ID.
Neste fluxo, Mollema identificou que o desafio WebAuthn do Entra é válido por cinco minutos e não está vinculado a uma sessão, usuário ou locatário. Assim, um desafio solicitado no sistema do atacante pode ser levado até a máquina da vítima, assinado lá com a chave do Windows Hello e devolvido como uma assertiva WebAuthn. O login resultante pode satisfazer regras de Acesso Condicional que exigem autenticação resistente a phishing.
Mollema também descobriu que o token resultante pode não trazer uma reivindicação (claim) de ID de dispositivo, abrindo um caminho que, a partir do registro do dispositivo, leva a um PRT (Primary Refresh Token, ou Token de Atualização Primário) e a persistência adicional.
Os materiais públicos não permitem afirmar se os comportamentos do Entra descritos por SpecterOps e Mollema decorrem do mesmo problema subjacente de validação no Entra ou de verificações distintas que, por coincidência, geram resultados de autenticação semelhantes.
A sobreposição é real o suficiente para ser comparada; tratá-la como um único bug iria além do que as fontes demonstram.
Criptografia forte, entorno mais frágil
As três descobertas não devem ser reduzidas a um único bug de replay.
A SpecterOps mostrou o perigo de assertivas assinadas reutilizáveis expostas pelo Windows e aceitas por meio de um caminho de autenticação em nuvem. A Unit 42 mostrou malware manipulando a confiança do cliente, o tratamento da verificação do usuário, a recuperação e a proteção de chaves sincronizadas. Mollema mostrou um software dentro de uma sessão ativa do Windows usando uma chave legítima vinculada a hardware para criar material de autenticação novo.
Esses controles ao redor ainda podem deixar aos atacantes assertivas reutilizáveis, chaves privadas de passkeys sincronizadas ou um caminho para gerar autenticações novas a partir de uma sessão Windows comprometida.
Os ataques da Unit 42 começam com malware já presente no endpoint, enquanto o de Mollema começa dentro de uma sessão de usuário já comprometida. Esses dois eixos de pesquisa mostram, portanto, o que as passkeys podem deixar de conter após o comprometimento do endpoint, e não uma forma de derrotá-las a partir de uma posição remota não autenticada.
Para o Windows, a ação imediata é instalar as atualizações de segurança aplicáveis da Microsoft para a CVE-2026-34348. Serviços que aceitam assertivas WebAuthn devem aplicar de forma rígida os requisitos de verificação do usuário que eles próprios solicitam. As defesas de endpoint precisam tratar os armazenamentos de passkeys, os fluxos de recuperação e a memória do navegador como território sensível de credenciais.
Defenders do Entra também podem monitorar autenticações incomuns do Windows Hello for Business sem identificador de dispositivo e registros de dispositivo inesperados. Nem passkeys sincronizadas nem passkeys vinculadas a dispositivo corrigem erros de implementação em outros pontos da cadeia.
A Microsoft está aumentando a pressão para acertar esses detalhes de implementação. A partir de 1º de setembro de 2026, usuários do Entra ID hoje habilitados para autenticação por SMS ou voz serão automaticamente habilitados para passkeys e estimulados a registrá-las. O envio de SMS e voz fornecido pela Microsoft está previsto para ser descontinuado em 1º de fevereiro de 2027.
