Le passkey non sono state “rotte”, ma tre ricerche presentate nella settimana del 5 agosto 2026 hanno dimostrato che, in alcuni scenari, un attaccante può comunque autenticarsi aggirando le protezioni attese. Per un’azienda questo conta molto: se i PC sono compromessi o gestiti male, anche un sistema nato per sostituire le password e resistere al phishing può perdere gran parte del suo vantaggio pratico.
Cosa è successo davvero
Il 10 agosto 2026 The Hacker News ha riassunto tre filoni di ricerca distinti, emersi nei giorni precedenti, tutti con un messaggio comune: la robustezza crittografica delle passkey non basta se il sistema operativo, il browser o la sessione utente espongono materiale sensibile che può essere riutilizzato.
È un punto importante da chiarire subito. Non parliamo di una violazione dell’algoritmo FIDO2 o di una “chiave universale” capace di sbloccare qualsiasi account. Le dimostrazioni mostrano invece attacchi laterali: riuso di materiale già firmato, abuso di passkey sincronizzate dal cloud in presenza di malware sul dispositivo, oppure uso improprio di chiavi locali da una sessione Windows già compromessa.
In altre parole: la passkey resta una tecnologia valida, ma non può essere considerata una garanzia assoluta se l’endpoint aziendale è già sotto il controllo di un attaccante.
I tre scenari emersi dalla ricerca
1) Il caso Windows + Microsoft Entra ID
SpecterOps ha presentato a Black Hat USA 2026, il 5 agosto, una catena di attacco soprannominata “Pass-the-Passkey”. Secondo i ricercatori, Windows conservava in chiaro firme generate in precedenza da chiavi come quelle di una YubiKey, rendendole leggibili anche a utenti autenticati ma non privilegiati, inclusi utenti remoti.
Questa esposizione è tracciata come CVE-2026-34348, una vulnerabilità di information disclosure nel Windows Event Logging Service, con punteggio CVSS 6.5 e aggiornamento di sicurezza già rilasciato da Microsoft. I prodotti interessati, secondo l’advisory pubblico, coprono versioni di Windows 10, Windows 11 e Windows Server.
L’aspetto più delicato è che, sempre secondo la ricerca, quel materiale firmato poteva essere concatenato con debolezze nella validazione delle passkey in Microsoft Entra ID, arrivando a impersonare utenti privilegiati pur in presenza di policy che richiedevano MFA resistente al phishing.
Qui il punto non è il furto della chiave privata dell’autenticatore: l’attacco riutilizza materiale di autenticazione già generato. È una distinzione tecnica, ma per l’azienda il risultato è lo stesso che conta davvero: un soggetto non autorizzato che accede come un altro utente.
Microsoft ha dichiarato di aver applicato mitigazioni anche per il problema relativo alle “passkey relay assertions”, oltre a raccomandare least privilege, autenticazione resistente al phishing e protezioni endpoint in un modello Zero Trust. Tuttavia, i dettagli tecnici completi sulla parte Entra non erano pubblici nella sintesi disponibile.
2) Le passkey sincronizzate in Google Password Manager
Il secondo filone arriva da Unit 42 e riguarda il sistema di passkey sincronizzate di Google Password Manager in Chrome su Windows. Anche qui l’attacco non parte da zero: tutte le varianti descritte presuppongono che sul computer della vittima sia già in esecuzione del malware, senza bisogno di escalation a privilegi amministrativi.
I ricercatori hanno mostrato un percorso in cui il malware abusa dei meccanismi di identità del dispositivo di Chrome per ottenere le firme necessarie a comportarsi come un client legittimo di Google Password Manager, senza una nuova interazione dell’utente o uno sblocco aggiuntivo del dispositivo.
Unit 42 ha anche dimostrato la tecnica contro eBay, nonostante il sito richiedesse user verification. Dopo la segnalazione, eBay ha modificato il modo in cui validava il flag WebAuthn relativo alla verifica dell’utente.
La variante più seria, chiamata Golden Pass-ta-key, prende di mira il Security Domain Secret, una chiave master di 32 byte usata per proteggere le passkey sincronizzate. I ricercatori l’hanno inizialmente trovata esposta nei log del dispositivo di Chrome; dopo la segnalazione, Google l’ha rimossa da quell’output. Secondo la ricerca, però, il segreto resta temporaneamente presente nella memoria del processo Chrome durante la fase di re-registrazione.
Se un attaccante ottiene quel segreto, può ricavare le chiavi private delle passkey sincronizzate della vittima. Ed è proprio questo il passaggio che cambia la gravità dell’incidente: non si parla più di un singolo accesso catturato, ma di una compromissione potenzialmente più persistente. Unit 42 ha inoltre osservato che l’implementazione attuale di Google non offrirebbe un modo per ruotare o revocare il Security Domain Secret.
3) Windows Hello for Business usato da una sessione compromessa
Il terzo lavoro, dell’analista indipendente Dirk-jan Mollema, riguarda Windows Hello for Business. In sintesi, la ricerca mostra che un malware già in esecuzione dentro una sessione Windows autenticata può usare una chiave Windows Hello for Business legata all’hardware senza richiedere un nuovo PIN o un nuovo controllo biometrico.
Questo non significa che il TPM o la protezione hardware siano inutili. Significa piuttosto che, se l’attaccante ha già ottenuto il controllo della sessione utente, può talvolta “prendere in prestito” la fiducia già concessa dall’utente al dispositivo. È un problema diverso dal furto diretto della chiave e rafforza una lezione che i team IT conoscono bene: quando l’endpoint è compromesso, il confine tra utente legittimo e attore malevolo diventa molto più sottile.
Perché queste ricerche contano anche se le passkey restano valide
È facile leggere titoli allarmistici e concludere che le passkey siano fallite. Sarebbe un errore. Le passkey continuano a offrire vantaggi reali rispetto alle password tradizionali: riducono il rischio di riutilizzo delle credenziali, alzano la barriera contro il phishing e tolgono di mezzo molte pratiche insicure ancora diffuse in azienda.
Il messaggio corretto è un altro: le passkey proteggono molto bene dall’attacco esterno classico, ma non possono sostituire la sicurezza del PC, del browser e della sessione utente.
Per un imprenditore o un responsabile d’ufficio questo si traduce in una regola semplice. Se il computer è aggiornato, protetto, monitorato e gestito bene, le passkey sono un passo avanti. Se invece il dispositivo è lasciato senza controllo, con software obsoleto, account troppo permissivi e scarsa visibilità sugli endpoint, il vantaggio si riduce drasticamente.
Cosa significa per la tua azienda
Per una PMI italiana, la lezione pratica non è “tornare alle password”, ma completare il progetto passkey con una gestione seria degli endpoint e degli accessi.
Ecco le priorità più concrete:
1) Aggiornare subito i sistemi Windows interessati. Se in azienda usate Windows 10, Windows 11 o Windows Server, verificate che gli aggiornamenti Microsoft relativi a CVE-2026-34348 siano applicati. La rapidità nel patching fa la differenza soprattutto quando una vulnerabilità permette di leggere dati utili all’autenticazione.
2) Trattare il PC come parte dell’autenticazione. Non basta scegliere un metodo di login moderno. Se il dispositivo può essere infettato da malware, anche l’MFA più evoluta perde efficacia. Serve una buona base di sicurezza informatica: protezione endpoint, controllo delle configurazioni, privilegi minimi e verifiche periodiche.
3) Limitare i privilegi locali e amministrativi. Tutte e tre le ricerche ricordano che un utente con più poteri del necessario, o una macchina dove “si fa tutto con l’account admin”, amplia l’impatto di qualunque infezione. Separare gli account, ridurre i privilegi e segmentare gli accessi è ancora una delle misure più efficaci e meno glamour.
4) Gestire Chrome e i browser come asset aziendali. Se usate passkey sincronizzate in Google Password Manager, definite regole precise: quali account possono usarle, su quali dispositivi, con quale livello di protezione e con quali controlli antimalware. Il browser non è un dettaglio operativo: è una componente critica dell’identità digitale.
5) Preparare un piano di risposta agli incidenti che includa le credenziali moderne. In caso di malware su un PC, non pensate solo a cambiare password. Dovete valutare anche se revocare sessioni, reiscrivere dispositivi, sostituire metodi di accesso e verificare l’eventuale esposizione di passkey sincronizzate.
6) Non affidarsi a una sola misura. Passkey, MFA, antivirus, controllo degli accessi, logging, backup e formazione non sono alternative tra loro. Sono strati di difesa. Se uno cede, gli altri devono contenere il danno. Anche per questo conviene affiancare la protezione degli accessi a una corretta gestione delle postazioni con servizi di desktop IT management.
7) Curare backup e continuità operativa. Queste ricerche riguardano l’autenticazione, ma il punto di partenza in più casi è sempre lo stesso: un endpoint compromesso. Se il malware evolve o si trasforma in attacco più ampio, avere copie affidabili dei dati e procedure di ripristino rapide è fondamentale. Un sistema di remote backup resta una misura concreta per ridurre i tempi di fermo.
La vera domanda: conviene ancora adottare le passkey?
Sì, nella maggior parte dei casi conviene ancora. Ma vanno introdotte con aspettative corrette.
Se oggi in azienda avete ancora password deboli, riutilizzate o condivise, le passkey rappresentano comunque un miglioramento netto. Se però immaginate che possano risolvere da sole il problema degli accessi, state chiedendo a una tecnologia di identità di compensare carenze di gestione IT che appartengono a un altro livello.
La conclusione più utile per una PMI è questa: adottare passkey ha senso, purché il progetto includa patching, protezione endpoint, controllo dei privilegi e procedure di risposta agli incidenti. Non è un acquisto da fare “spuntando una casella”, ma una scelta organizzativa.
Domande frequenti
Le passkey non sono più sicure?
Restano più sicure delle password tradizionali in molti scenari, soprattutto contro phishing e riutilizzo delle credenziali. Il problema emerso riguarda dispositivi o sessioni già compromessi, non la crittografia di base delle passkey.
Devo smettere di usare Windows Hello o Google Password Manager?
No, ma è prudente verificare aggiornamenti, configurazioni e protezioni degli endpoint. Il rischio principale cresce quando sul PC è già presente malware o quando la gestione dei privilegi è troppo permissiva.
Cosa dovrebbe fare subito una PMI?
Applicare le patch disponibili, controllare lo stato di sicurezza dei PC aziendali, ridurre i privilegi non necessari e rivedere le procedure di risposta agli incidenti legate agli accessi. Le passkey aiutano, ma da sole non bastano.