Una nuova analisi tecnica di Unit 42 ha riacceso l'attenzione sulla sicurezza delle passkey sincronizzate in Google Password Manager. La ricerca, ripresa anche da testate internazionali specializzate, descrive diversi scenari in cui un attaccante gia presente sul dispositivo della vittima puo sfruttare componenti del browser e del cloud authenticator per ottenere accesso agli account protetti.

Il punto centrale non e una rottura dello standard FIDO in senso stretto, ma l'attacco all'implementazione concreta delle passkey sincronizzate su desktop. Secondo i ricercatori, malware eseguito sulla macchina compromessa puo abusare dei meccanismi che collegano Chrome, Google Password Manager e il servizio cloud usato per gestire le credenziali, fino ad arrivare in alcuni casi al furto del segreto che consente la sincronizzazione delle passkey tra dispositivi.

Perche la ricerca conta

La notizia e rilevante perche le passkey sono spesso presentate come una soluzione capace di ridurre radicalmente il phishing e il furto di credenziali. Il lavoro di Unit 42 non smentisce questo vantaggio, ma mostra che la superficie di rischio si sposta verso i sistemi che custodiscono, sincronizzano e autorizzano l'uso delle chiavi. In altre parole, l'autenticazione passwordless resta robusta contro molti attacchi tradizionali, ma non elimina il problema di un endpoint gia compromesso.

Le conferme indipendenti arrivate nei giorni successivi hanno sottolineato proprio questo aspetto: gli scenari descritti richiedono in genere la presenza di malware sul dispositivo o la capacita di manipolare il contesto locale dell'utente. Per le aziende, il messaggio operativo e che l'adozione delle passkey deve essere accompagnata da controlli sugli endpoint, protezione dell'identita e monitoraggio delle anomalie nei flussi di autenticazione.

Impatto per utenti e imprese

Per gli utenti finali, il caso ricorda che la sicurezza delle passkey dipende anche dall'igiene del dispositivo: aggiornamenti, protezione anti-malware e riduzione dei privilegi restano essenziali. Per le organizzazioni, invece, la vicenda rafforza la necessita di associare le passkey a criteri di accesso condizionale, device trust e procedure di risposta agli incidenti orientate all'identity security.

Nel breve periodo, il caso Pass-ta-key e soprattutto un campanello d'allarme per chi considera le passkey una misura sufficiente da sola. La traiettoria piu probabile e che browser, gestori di credenziali e fornitori cloud continuino a rafforzare queste implementazioni, ma l'episodio dimostra che anche i modelli piu moderni di autenticazione richiedono difese stratificate.