Una nuova linea di ricerca sulla sicurezza delle passkey riporta l'attenzione sui punti deboli che possono emergere quando l'autenticazione senza password viene combinata con browser, password manager e sincronizzazione cloud. La questione non riguarda una rottura del modello crittografico delle passkey in s?, ma i passaggi operativi e i componenti di supporto che gestiscono registrazione, fiducia del dispositivo e sincronizzazione.

Le conferme indipendenti disponibili convergono su questo punto: TechRadar ha rilanciato i dettagli tecnici emersi dalle analisi di sicurezza, mentre una sessione dedicata alla RSAC 2026 ha descritto il ruolo del livello di sincronizzazione cloud nell'ampliare la superficie d'attacco. In pratica, il rischio aumenta quando un malware riesce a operare sul dispositivo dell'utente o a inserirsi nei meccanismi che dovrebbero attestare l'identit? del client.

Perch? la notizia conta

Le passkey sono spesso presentate come alternativa pi? robusta alle password tradizionali contro phishing e riuso delle credenziali. Tuttavia, questi scenari ricordano che la sicurezza effettiva dipende dall'intera catena: browser, sistema operativo, archivio locale, sincronizzazione, gestione delle chiavi e integrit? del dispositivo.

Il messaggio per aziende e utenti non ? che le passkey siano da abbandonare, ma che vadano inserite in un perimetro difensivo coerente. Se un infostealer o un malware con accesso locale compromette il dispositivo, anche un sistema di autenticazione pi? moderno pu? perdere parte dei suoi vantaggi.

Contesto operativo

Per le organizzazioni questo significa rafforzare il controllo degli endpoint, monitorare browser e password manager, ridurre i privilegi locali non necessari e aggiornare rapidamente i client coinvolti. Sul piano individuale, diventano centrali l'igiene del dispositivo, la verifica delle estensioni installate e la prudenza verso software non attendibili, perch? il vettore iniziale resta spesso l'infezione del terminale.

La vicenda conferma una tendenza pi? ampia: nel 2026 la sicurezza dell'identit? non si gioca solo sul metodo di accesso, ma sull'affidabilit? dell'ambiente che custodisce e usa le credenziali crittografiche.