Pass-the-Passkey: novos ataques têm como alvo o sucessor da senha

Nosso guia “Uma senha por si só não é suficiente” foi bem recebido pela comunidade e foi escrito propositalmente para iniciantes. Os comentários levantaram exatamente os pontos mais delicados que deixamos de fora na época. Agora, a pesquisa oferece a ocasião certa: na Black Hat USA (de 1º a 6 de agosto, em Las Vegas), o pesquisador de segurança Michael Grafnetter apresentará uma família de ataques que ele denomina “Pass-the-Passkey”. É hora da continuação: o que realmente diferencia as passkeys, quais são seus limites e o que você pode fazer melhor.

Chave de acesso na nuvem ou chave de hardware: eis a diferença

As passkeys vêm em duas variantes. A mais prática fica em um gerenciador de senhas ou diretamente na Apple, no Google ou na Microsoft e sincroniza-se com todos os seus dispositivos por meio da nuvem. Isso é prático, mas abre uma linha adicional de ataque. Quem quer que invada sua conta na nuvem tem, potencialmente, acesso às passkeys sincronizadas também. A segunda variante é a chave de hardware, um pequeno dispositivo USB ou NFC. Sua chave privada nunca sai do chip e não pode ser exportada, conforme descreve a FIDO Alliance. Para a maioria das pessoas, a chave de acesso na nuvem é suficiente, pois ela permanece resistente a tentativas de phishing e é claramente melhor do que uma senha. Se o(a) senhor(a) tiver contas que exijam proteção especial, estará mais seguro(a) com uma chave de hardware.

Michael Grafnetter, pesquisador de segurança da SpecterOps, analisou detalhadamente implementações reais de passkey e divulgou suas descobertas em seu blog, o DSInternals. O que ele descobriu: quando o ambiente circundante é negligente, padrões antigos de ataque podem ser ressuscitados, mesmo que a criptografia de chaves de acesso em si seja robusta. Ele chama isso de “Pass-the-Passkey”, em referência ao “Pass-the-Hash”. Um invasor rouba dados de login e os reutiliza sem nunca saber a senha. Especificamente, ele encontrou três falhas no Windows 11 e no Microsoft Entra ID que estavam prestes a se tornar exploráveis. O Windows 11 gravava uma cópia completa da chave no log de eventos, e o Entra ID não impedia a reutilização de forma adequada. Juntas, essas falhas teriam sido suficientes para assumir o controle de contas privilegiadas na nuvem e contornar até mesmo o login multifatorial resistente a phishing. A principal falha está registrada como CVE-2026-34348 e foi corrigida em 14 de julho. A Microsoft corrigiu o problema no lado da nuvem discretamente. Um detalhe importante para contextualizar: isso afeta principalmente configurações corporativas com o Entra ID, o Windows Hello ou chaves FIDO2, e não sua chave de acesso privada no seu celular. A opinião do próprio Grafnetter é que as chaves de acesso representam um grande avanço, mas não são uma solução mágica, e que as rotas de ataque continuam sendo muito mais complexas do que no caso das senhas clássicas.

As chaves de hardware não são todas iguais

Uma chave de hardware não é automaticamente a resposta perfeita. Analise primeiro o padrão. O FIDO2 com WebAuthn é a via moderna e resistente a phishing, enquanto métodos mais antigos de código único, como o TOTP, não oferecem essa proteção. Em segundo lugar, as marcas mais conhecidas, como a YubiKey (disponível aqui na Amazon) ou a Titan do Google, são maduras, mas seu próprio alcance já as torna um alvo popular, e elas também apresentaram pontos fracos. O ataque EUCLEAK demonstrou, em 2024, que certas YubiKeys mais antigas podem ser clonadas em condições de laboratório. Se desejar reduzir a superfície de ataque, pode optar deliberadamente por um modelo menos comum, mas certificado. E para qualquer coisa integrada ao dispositivo — um iPhone, por exemplo —, aplica-se a suposição sensata: o que hoje está seguro no chip ainda pode ser lido algum dia. Uma chave separada, que você possa retirar em caso de dúvida, continua sendo a escolha mais conservadora.

O erro mais comum: a senha antiga continua ativa

O erro mais caro é aquele que você não consegue ver. Muitas pessoas configuram uma chave de acesso, mas mantêm a senha antiga e fraca ativa como login. A porta dos fundos, então, permanece aberta e a chave de acesso não adanta muito. Veja como fazer da maneira correta:

1. Configure uma chave de acesso ou uma chave de hardware para a conta.
2. Salve os códigos de recuperação, de preferência impressos ou em um gerenciador de senhas offline.
3. Desative a senha antiga sempre que o serviço permitir.
4. Se isso não for possível, substitua a senha por uma longa e complexa e guarde-a apenas em um local seguro.

A mudança vale a pena, afinal?

Sim. As chaves de acesso mudam o alvo, não o removem, e essa é a mensagem sincera da nova pesquisa. Elas continuam sendo claramente mais seguras do que senhas, independentes de vazamentos de dados e resistentes a phishing. A Microsoft está até mesmo tornando as chaves de acesso o método padrão de login para suas contas na nuvem a partir de 1º de setembro. Para a maioria das pessoas, a chave de acesso sincronizada é o passo certo. Quem precisar de mais proteção pode adicionar uma chave de hardware e fechar a porta dos fundos das senhas. Grafnetter apresentará os detalhes do “Pass-the-Passkey” na Black Hat, juntamente com ferramentas que ele está lançando como código aberto para que outros possam identificar outros pontos fracos.