Pass-the-Passkey: novos ataques têm como alvo o sucessor da senha

Nosso guia “Uma senha por si só não é suficiente” foi bem recebido pela comunidade e foi escrito propositalmente para iniciantes. Os comentários levantaram exatamente os pontos mais delicados que deixamos de fora na época. Agora, a pesquisa oferece a ocasião certa: na Black Hat USA (de 1º a 6 de agosto, em Las Vegas), o pesquisador de segurança Michael Grafnetter apresentará uma família de ataques que ele denomina “Pass-the-Passkey”. É hora da continuação: o que realmente diferencia as passkeys, quais são seus limites e o que você pode fazer melhor.

Chave de acesso na nuvem ou chave de hardware: eis a diferença

As passkeys vêm em duas variantes. A mais prática fica em um gerenciador de senhas ou diretamente na Apple, no Google ou na Microsoft e sincroniza-se com todos os seus dispositivos por meio da nuvem. Isso é prático, mas abre uma linha adicional de ataque. Quem quer que invada sua conta na nuvem tem, potencialmente, acesso também às passkeys sincronizadas. A segunda variante é a chave de hardware, um pequeno dispositivo USB ou NFC. Sua chave privada nunca sai do chip e não pode ser exportada, conforme descreve a FIDO Alliance. Para a maioria das pessoas, a chave de acesso na nuvem é suficiente, pois permanece resistente a tentativas de phishing e é claramente melhor do que uma senha. Se o(a) senhor(a) tiver contas que exijam proteção especial, estará mais seguro(a) com uma chave de hardware.

O que a pesquisa “Pass-the-Passkey” revela

Michael Grafnetter, pesquisador de segurança da SpecterOps, analisou detalhadamente implantações reais de passkeys e divulgou suas descobertas em seu blog, o DSInternals. O que ele constatou: quando o ambiente circundante é negligente, padrões antigos de ataque podem ser ressuscitados, mesmo que a criptografia de passkeys em si seja robusta. Ele chama isso de “Pass-the-Passkey”, em referência ao “Pass-the-Hash”. Um invasor rouba dados de login e os reutiliza sem nunca saber a senha. Especificamente, ele encontrou três falhas no Windows 11 e no Microsoft Entra ID que estavam prestes a se tornar exploráveis. O Windows 11 gravava a assinatura de um login no log de eventos em texto não criptografado, onde contas sem privilégios podiam lê-la, em alguns casos até mesmo remotamente. A chave privada em si permanecia protegida no autenticador. Além disso, o Entra ID não impedia adequadamente que essas asserções fossem reutilizadas. Juntas, essas falhas teriam sido suficientes para assumir o controle de contas privilegiadas na nuvem e contornar até mesmo o login multifatorial resistente a phishing. A principal falha está registrada como CVE-2026-34348 e foi corrigida em 14 de julho. A Microsoft corrigiu o problema no lado da nuvem discretamente. Um detalhe importante para contextualizar: isso afeta principalmente configurações corporativas com o Entra ID, o Windows Hello ou chaves FIDO2, e não a sua chave de acesso privada no seu celular. A opinião do próprio Grafnetter é que as chaves de acesso representam um grande avanço, mas não são uma solução mágica, e que as rotas de ataque continuam sendo muito mais complexas do que no caso das senhas clássicas.

As chaves de hardware não são todas iguais

Uma chave de hardware não é automaticamente a resposta perfeita. Analise primeiro o padrão. O FIDO2 com WebAuthn é a via moderna e resistente a phishing, enquanto métodos mais antigos de código único, como o TOTP, não oferecem essa proteção. Em segundo lugar, as marcas mais conhecidas, como a YubiKey (disponível aqui na Amazon) ou a Titan, do Google, são maduras, mas seu próprio alcance já as torna um alvo popular, e elas também apresentaram pontos fracos. O ataque EUCLEAK demonstrou, em 2024, que certas YubiKeys mais antigas podem ser clonadas em condições de laboratório. Se desejar reduzir a superfície de ataque, pode optar deliberadamente por um modelo menos comum, mas certificado. E para qualquer coisa integrada ao dispositivo — um iPhone, por exemplo —, aplica-se a suposição sensata: o que hoje está seguro no chip ainda pode ser lido algum dia. Uma chave separada, que você pode retirar em caso de dúvida, continua sendo a escolha mais conservadora.

O erro mais comum: a senha antiga continua ativa

O erro mais caro é aquele que você não consegue ver. Muitas pessoas configuram uma chave de acesso, mas mantêm a senha antiga e fraca ativa como meio de login. A porta dos fundos, então, permanece aberta, e a chave de acesso não adanta muito. Veja como proceder corretamente:

1. Configure uma chave de acesso ou uma chave de hardware para a conta.
2. Salve os códigos de recuperação, de preferência impressos ou em um gerenciador de senhas offline.
3. Desative a senha antiga sempre que o serviço permitir.
4. Se isso não for possível, substitua a senha por uma longa e complexa e guarde-a apenas em um local seguro.

A mudança vale a pena, afinal?

Sim. As chaves de acesso deslocam o alvo, não o removem, e essa é a mensagem sincera da nova pesquisa. Elas continuam sendo claramente mais seguras do que senhas, independentes de vazamentos de dados e resistentes a phishing. A Microsoft está até mesmo tornando as chaves de acesso o método padrão de login para suas contas na nuvem a partir de 1º de setembro. Para a maioria das pessoas, a chave de acesso sincronizada é o passo certo. Quem precisar de mais proteção pode adicionar uma chave de hardware e fechar a porta dos fundos da senha. Grafnetter apresentará os detalhes do “Pass-the-Passkey” na Black Hat, juntamente com ferramentas que está lançando como código aberto para que outros possam identificar outros pontos fracos.

Atualização de 31 de julho de 2026

Tornamos a descrição da falha do Windows mais precisa. Esta passagem afirmava anteriormente que o Windows 11 gravava uma cópia completa da chave no log de eventos. Essa formulação veio da reportagem da Dark Reading que havíamos citado como fonte. O que realmente foi registrado no log foi a assinatura de um login, limitada em tempo e público-alvo, e não a chave privada. A chave privada permanece protegida no autenticador.

A Microsoft nos alertou sobre a imprecisão. A correção está de acordo com o anúncio de Michael Grafnetter no DSInternals, que menciona assinaturas, e com a classificação do CVE-2026-34348 como uma divulgação de informações no Serviço de Registro de Eventos do Windows. Nada disso altera a gravidade da falha. As assinaturas reutilizáveis e a ausência da verificação de repetição no Entra ID foram, juntas, suficientes para assumir o controle de contas privilegiadas na nuvem.