Malware executando como usuário comum em uma máquina Windows pode acessar contas protegidas por passkey de uma vítima sem necessidade de impressão digital, PIN ou qualquer outra autenticação. Três caminhos de ataque foram detalhados contra o autenticador em nuvem do Google Password Manager.
Detalhes Técnicos
O malware pode explorar vulnerabilidades no Google Password Manager para obter acesso não autorizado.
Três vetores de ataque foram identificados: Pass-ta-key, Silver Pass-ta-key e Golden Pass-ta-key.
O ataque mais potente visa a chave mestra, permitindo ao malware acessar contas protegidas por passkey sem interação do usuário.
Recomendações
Atualizar o Google Password Manager com os últimos patches de segurança.
Implementar medidas de segurança adicionais, como autenticação multifator.
Monitorar atividades suspeitas em contas protegidas por passkey.
