Las passkeys se han convertido en una alternativa cada vez más popular a las contraseñas porque, en teoría, reducen riesgos como el phishing. Sin embargo, un informe reciente de Palo Alto Networks muestra que los ataques a passkeys pueden adoptar técnicas que aprovechan el ecosistema donde se almacenan y sincronizan.
En lugar de centrarse en “romper” la autenticación por fuerza bruta, los investigadores describen cómo un malware instalado en un equipo Windows con Chrome puede identificar cuentas protegidas, obtener material criptográfico y generar firmas para completar inicios de sesión. Incluso presentan variantes con distintos niveles de impacto.
Por qué las passkeys aún pueden ser un objetivo
Las passkeys están diseñadas para ser resistentes a la suplantación típica del phishing: el usuario no introduce un secreto que pueda capturarse y reutilizarse. Aun así, la seguridad no depende solo del método de autenticación, sino también del dispositivo, del navegador y de la forma en que la passkey se sincroniza con el servicio en la nube.
Según la publicación analizada, el foco de los investigadores está en las passkeys asociadas a cuentas sincronizadas, concretamente en escenarios vinculados a Chrome y a un flujo de verificación en la nube.
El ataque “Pass-ta-key”: secuestro desde un equipo ya comprometido
La primera técnica descrita, denominada “Pass-ta-key”, parte de una condición crítica: el malware ya está presente en una máquina Windows que ejecuta Chrome. Desde ahí, el objetivo no es pedir permisos adicionales al usuario, sino aprovechar recursos locales que Chrome guarda para la sincronización.
Los investigadores explican que el malware puede:
- Examinar la base de datos local de sincronización del navegador.
- Identificar qué cuentas en línea el usuario protegió con passkeys.
- Recuperar nombres de usuario y material de credenciales cifrado asociado a esas passkeys.
Una vez que tiene esa información, el malware obtiene una identidad de dispositivo que Chrome almacena en disco o en memoria. Luego utiliza APIs criptográficas de Windows para generar una firma sobre un desafío proporcionado por el servicio de autenticación en la nube.
El punto que más llama la atención es que el proceso, tal como lo describe el informe, no requiere interacción del usuario: no se menciona un prompt biométrico, ni un desbloqueo explícito del dispositivo, ni elevación de privilegios.
De la nube a la web: la firma como llave para completar el login
Después, la parte en la nube trata la solicitud firmada como si proviniera de un dispositivo de confianza. Como resultado, devuelve una asserión de autenticación válida. En el flujo descrito, el atacante simplemente reenvía esa aserción al sitio objetivo para terminar el inicio de sesión.
En otras palabras: si el malware consigue generar el material criptográfico esperado por el servicio, el control de la cuenta puede transferirse sin que el usuario tenga que “hacer algo” en ese momento.
Variante “Silver Pass-ta-key”: registrar una verificación propia
Los investigadores también describen una variante más avanzada llamada “Silver Pass-ta-key”. En este caso, el malware fuerza a Chrome a pasar por un proceso de re-registro del dispositivo.
Durante esa ventana breve del proceso, el atacante registra una clave de verificación propia con el servicio de autenticación en la nube. La consecuencia es importante: después, el atacante puede autenticar desde otra máquina completamente distinta.
Este cambio de escenario transforma el ataque. En lugar de depender únicamente del equipo comprometido para firmar desafíos, el atacante busca dejar una “huella” criptográfica en el lado de la verificación en la nube para futuras sesiones desde nuevos entornos.
Variante “Golden Pass-ta-key”: impacto máximo sobre claves sincronizadas
La técnica más severa se describe como “Golden Pass-ta-key”. Aquí, el malware intenta extraer un secreto maestro que aparece de forma momentánea en la memoria del proceso de Chrome durante un paso de re-enrolamiento.
Con ese secreto, según el informe, el malware puede descifrar todas las claves privadas de passkeys sincronizadas pertenecientes a la cuenta comprometida. Además, la capacidad se extiende a passkeys futuras: al disponer del material necesario, el atacante podría descifrar claves que se sincronizan posteriormente.
Este nivel de acceso es especialmente relevante porque no se trata solo de iniciar sesión en un momento dado: el atacante busca obtener control criptográfico de la estructura que alimenta la sincronización de las passkeys.
Qué significa esto para la seguridad del usuario
Es fácil interpretar estos hallazgos como una “falla” directa de las passkeys. Sin embargo, el matiz del informe apunta más bien a un problema de cadena de confianza: si el dispositivo ya está comprometido, el atacante puede intentar aprovechar el flujo de sincronización y verificación, generando firmas que el servicio confía como legítimas.
Por eso, más allá de adoptar passkeys, resulta crucial reforzar la higiene del endpoint. Algunas medidas generales que pueden ayudar a reducir el riesgo de escenarios similares incluyen:
- Mantener el sistema y el navegador actualizados.
- Reducir la superficie de infección (por ejemplo, evitando descargar software de fuentes dudosas).
- Aplicar prácticas de seguridad que dificulten la persistencia de malware.
- Revisar configuraciones de seguridad del navegador y del sistema cuando sea posible.
El objetivo no es “adivinar” el ataque, sino limitar la probabilidad de que el malware llegue a ejecutarse y, una vez dentro, a manipular el entorno de autenticación.
Mitigaciones reportadas y señales a vigilar
El informe señala que Google ha sido notificado y que se habrían aplicado mitigaciones según la publicación de Palo Alto Networks. Aunque no se detallan aquí cuáles son exactamente, el mensaje general es claro: los proveedores pueden ajustar el comportamiento del servicio de autenticación para reducir la posibilidad de que una solicitud firmada sea tratada como confiable en escenarios no deseados.
Para las organizaciones y equipos de seguridad, la recomendación práctica es mantenerse atentos a actualizaciones del proveedor, revisiones de configuración y avisos relacionados con autenticación sin contraseña.
Conclusión
Los ataques a passkeys descritos en el análisis no buscan vulnerar el concepto de “sin contraseña” desde cero, sino explotar el camino entre el navegador y la validación en la nube cuando existe un compromiso previo del equipo. Desde “Pass-ta-key” hasta “Silver” y “Golden”, el hilo común es el aprovechamiento de sincronización, firmas y, en los escenarios más graves, material criptográfico que permite descifrar y reutilizar credenciales.
La lección principal es doble: las passkeys siguen siendo una mejora frente a los métodos basados en contraseñas, pero la seguridad real depende también de proteger el dispositivo y de aplicar mitigaciones cuando los proveedores actualizan sus sistemas.
Fuente: https://www.securityweek.com/new-attack-methods-enable-malware-to-hijack-passkey-protected-accounts/
