Le passkey restano una tecnologia più sicura delle password, ma non sono una garanzia assoluta se il PC è già infetto. Una nuova ricerca pubblicata il 3 agosto 2026 mostra che, su Windows, un malware eseguito come normale utente può abusare di Google Password Manager in Chrome per autenticarsi su account protetti da passkey, in alcuni casi senza PIN, impronta o messaggi visibili sullo schermo. Per un’azienda questo significa una cosa molto concreta: se un endpoint viene compromesso, anche i sistemi di accesso più moderni possono diventare vulnerabili.

Cosa è successo

I ricercatori di Unit 42, il team di ricerca di Palo Alto Networks, hanno descritto tre percorsi di attacco contro il gestore di passkey sincronizzate di Google Password Manager in Chrome su sistemi Windows dotati di TPM. Hanno dato alle tecniche i nomi Pass-ta-key, Silver Pass-ta-key e Golden Pass-ta-key.

Il punto importante è questo: non viene “rotto” il meccanismo crittografico delle passkey. Gli attacchi non indovinano chiavi, non aggirano matematicamente la protezione e non dimostrano che le passkey siano inutili. Colpiscono invece ciò che sta intorno alla passkey: il modo in cui Chrome conserva le chiavi del dispositivo, come gestisce la ri-registrazione del dispositivo e come alcuni siti verificano che l’utente abbia davvero completato una verifica umana, ad esempio con PIN o biometria.

Le fonti precisano anche un altro aspetto essenziale: si tratta di tecniche post-compromissione. In altre parole, l’attaccante deve avere già malware in esecuzione sul computer della vittima. Non è il tipo di attacco che parte da zero contro un PC sano; è il tipo di abuso che diventa possibile dopo una compromissione iniziale.

Perché la notizia conta anche se “serve già il malware”

A prima vista si potrebbe pensare che il problema sia limitato: se il PC è già compromesso, il danno è già fatto. In realtà la notizia è rilevante proprio perché spiega quanto può diventare profondo il danno dopo l’infezione.

Molte aziende stanno adottando passkey, MFA e accesso passwordless per ridurre phishing, riuso delle password e furto di credenziali. È una scelta corretta. Tuttavia queste tecnologie proteggono soprattutto dall’attacco esterno e dall’errore umano tipico della password. Proteggono molto meno se il dispositivo usato per autenticarsi è già sotto il controllo di un malware.

In pratica, la ricerca ricorda un principio spesso sottovalutato: la sicurezza dell’identità dipende anche dalla sicurezza dell’endpoint.

Come funzionano i tre attacchi, in breve

1. Pass-ta-key: il dispositivo viene impersonato

Nel primo scenario, il malware sfrutta la chiave di identità del dispositivo protetta dal TPM e la usa per far firmare una richiesta verso il sistema cloud che gestisce le passkey sincronizzate. Secondo i ricercatori, questo può avvenire senza privilegi amministrativi, senza interazione dell’utente e senza richiedere impronta, volto o PIN.

Il risultato è un’asserzione di autenticazione valida. C’è però un dettaglio cruciale: il flag di “User Verified” non risulta impostato. Questo flag serve a indicare che l’utente ha effettivamente completato una verifica locale.

Qui entra in gioco il sito su cui ci si autentica. Se il servizio controlla correttamente quel flag e richiede davvero la verifica dell’utente, l’attacco fallisce. Unit 42 ha indicato che GitHub ha respinto il tentativo proprio per questo motivo. Al contrario, eBay avrebbe inizialmente accettato l’autenticazione di test nonostante il controllo dovesse essere richiesto; la lacuna sarebbe poi stata corretta dopo la segnalazione.

La lezione è chiara: non basta “supportare le passkey”, bisogna anche implementarle bene lato servizio.

2. Silver Pass-ta-key: viene registrata una chiave di verifica controllata dall’attaccante

Il secondo scenario è più insidioso. Il malware forza Chrome a ri-registrare il dispositivo, ad esempio eliminando lo stato locale o invalidando la chiave di verifica già esistente. In quella finestra temporale, secondo Unit 42, l’attaccante può registrare una propria chiave di user verification.

Se il sistema accetta quella chiave senza verificare che provenga davvero da hardware affidabile, l’attaccante può poi produrre autenticazioni che risultano come se l’utente avesse confermato PIN o biometria.

Questo cambia molto il livello di rischio, perché non si parla più solo di un abuso sul PC inizialmente infetto. Una volta registrata la chiave malevola, l’accesso potrebbe continuare anche da un altro sistema, senza bisogno di restare sul computer della vittima.

3. Golden Pass-ta-key: viene sottratto il segreto che protegge le passkey sincronizzate

Il terzo scenario è il più grave. L’obiettivo è il cosiddetto Security Domain Secret, un segreto di 32 byte che serve a decifrare le chiavi private delle passkey sincronizzate.

Secondo la ricerca, durante la registrazione o il recupero dell’accesso questo segreto arriva al client Chrome e resta temporaneamente disponibile in memoria. Google avrebbe già rimosso una precedente esposizione nei log interni FIDO di Chrome, ma i ricercatori sostengono che il segreto resti comunque accessibile nella memoria del processo.

Se un malware riesce a estrarlo, può recuperare le chiavi private delle passkey sincronizzate e usarle altrove. Le fonti riportano inoltre che l’implementazione attuale non offrirebbe un meccanismo chiaro per ruotare o revocare quel segreto, con un possibile impatto anche sulle passkey sincronizzate in futuro.

Cosa sappiamo davvero, e cosa no

Su un tema così delicato è importante distinguere i fatti confermati dalle ipotesi.

Sappiamo che:

la ricerca è stata resa pubblica il 3 agosto 2026;
riguarda Google Password Manager in Chrome su Windows con TPM;
tutte e tre le tecniche richiedono malware già in esecuzione sul dispositivo della vittima;
non sono stati indicati CVE nelle fonti riportate;
eBay avrebbe corretto il problema relativo alla validazione del flag di user verification dopo la segnalazione;
Google avrebbe già rimosso una precedente esposizione del segreto SDS dai log di Chrome.

Non sappiamo invece, almeno dalle fonti disponibili:

se tutte le tre tecniche siano già state completamente chiuse nelle versioni stabili di Chrome;
quali versioni esatte siano interessate;
se esista una remediation completa già distribuita a tutti gli utenti;
se queste tecniche siano state osservate in attacchi reali su larga scala.

Questa incertezza suggerisce prudenza, ma non panico. Il rischio c’è, soprattutto su macchine aziendali compromesse, ma non siamo davanti a una “rottura” generale delle passkey.

Il contesto più ampio: il vero problema è il PC compromesso

Nello stesso filone di notizie di questi giorni, Microsoft ha collegato una campagna globale contro reti Wi‑Fi di hotel e centri congressi al gruppo Midnight Blizzard, noto anche come APT29. In quel caso l’obiettivo era il furto di account Microsoft 365, tramite manipolazione DNS, pagine di phishing, device code phishing e finte pagine di aggiornamento software capaci di distribuire malware su Windows.

Il collegamento tra i due casi è strategico: l’attaccante spesso non “buca” l’autenticazione in modo diretto, ma si concentra sul dispositivo o sulla rete usata dalla vittima. Se riesce a impiantare malware, può poi rubare token, cookie, credenziali, dati aziendali e, come mostra questa ricerca, persino abusare di meccanismi passwordless avanzati.

Per chi viaggia per lavoro, si collega a reti ospiti o usa notebook aziendali fuori sede, questo è un promemoria molto concreto.

Cosa significa per la tua azienda

Per una PMI italiana il messaggio non è “smettiamo di usare le passkey”. Sarebbe la conclusione sbagliata. Le passkey restano preferibili alle password tradizionali contro phishing e riuso delle credenziali. Il punto è adottarle dentro una strategia più ampia.

Ecco le azioni più utili, in ordine pratico:

Metti al centro la protezione degli endpoint. Se il PC è compromesso, il rischio si sposta dall’identità al dispositivo. Servono hardening, aggiornamenti regolari, riduzione dei privilegi locali e monitoraggio continuo. Un servizio di desktop IT management aiuta a mantenere i client sotto controllo in modo sistematico.
Considera le reti Wi‑Fi pubbliche come non affidabili. Hotel, fiere, sale convegni e reti ospiti non dovrebbero essere usati come se fossero “normali”. Meglio tethering aziendale, VPN gestite e politiche chiare per il personale in trasferta.
Non affidarti solo all’autenticazione forte. MFA e passkey riducono una parte del rischio, non tutto il rischio. Serve una postura di sicurezza informatica che comprenda protezione email, controllo degli accessi, difesa degli endpoint e capacità di risposta agli incidenti.
Rivedi i servizi critici accessibili dal browser. Se usate portali cloud, gestionali web, Microsoft 365, CRM o piattaforme finanziarie, verificate con i fornitori se richiedono e validano correttamente la user verification quando supportano passkey.
Riduci i privilegi utente sui PC. Le fonti indicano che alcune tecniche funzionano anche senza privilegi amministrativi, ma questo non significa che i privilegi non contino. Limitare l’utente standard, bloccare software non autorizzato e separare gli account amministrativi resta fondamentale.
Prepara il ripristino, non solo la prevenzione. Un’infezione endpoint può trasformarsi in furto di identità, dati e accessi cloud. Backup verificati e isolati aiutano a contenere l’impatto operativo di un incidente. In questo contesto una soluzione di remote backup è una misura prudente, non accessoria.
Forma chi viaggia e chi lavora da remoto. Finti aggiornamenti browser, pagine captive portal, richieste di “verifica” e Wi‑Fi di strutture ricettive sono scenari sempre più realistici. Una breve formazione mirata può evitare il clic che dà inizio alla compromissione.
Definisci una procedura di incidente sugli account. Se sospetti che un PC sia stato compromesso, non basta cambiare password. Potrebbe essere necessario revocare sessioni, verificare passkey e token, controllare browser sincronizzati e ricostruire l’accesso da un dispositivo noto e pulito.

Le passkey sono ancora una buona idea?

Sì. Le passkey continuano a offrire un vantaggio netto rispetto alle password, soprattutto contro phishing e credenziali deboli o riutilizzate. La ricerca di Unit 42 non le smentisce; mostra piuttosto che nessuna tecnologia di autenticazione è più forte del dispositivo che la usa.

Tradotto per l’azienda: passare alle passkey ha senso, ma deve andare di pari passo con gestione dei PC, controllo delle reti, formazione del personale e capacità di risposta agli incidenti. Chi vede le passkey come soluzione unica rischia di avere una falsa sensazione di sicurezza.

Domande frequenti

Le passkey non sono più sicure delle password?

Lo sono ancora. Questi attacchi non dimostrano il contrario: mostrano che, se il PC è già infetto, un malware può abusare del contesto in cui le passkey vengono usate.

Devo smettere di usare Google Password Manager in azienda?

No, non automaticamente. La priorità è proteggere gli endpoint Windows, aggiornare Chrome, monitorare eventuali indicazioni ufficiali di Google e usare le passkey come parte di una strategia più ampia.

Cosa devo fare subito come responsabile aziendale?

Verifica lo stato di sicurezza dei PC, soprattutto quelli usati in mobilità; rafforza controlli su reti e browser; forma gli utenti; e prepara una procedura per revocare accessi e ricostruire dispositivi compromessi.

Passkey sotto attacco su Chrome: cosa cambia