Se hai attivato le passkey per il tuo account Google, probabilmente hai già sentito la promessa: nessuna password da digitare, niente da sottrarre con il phishing, nulla in un database in attesa di una fuga di dati. La promessa è in gran parte vera. Ma ora i ricercatori hanno descritto una tecnica — soprannominata «Pass-ta-key» — che dimostra come il malware presente sul tuo dispositivo possa comunque accedere alle passkey memorizzate in Google Password Manager. Vale la pena capire esattamente cosa significhi e cosa non significhi, perché la soluzione non è «smettere di usare le passkey».

Un rapido ripasso su come funzionano davvero le passkey

Una passkey è una coppia di chiavi, non un segreto da digitare. La parte privata dovrebbe non lasciare mai il tuo dispositivo; il sito o l'app vede solo la parte pubblica e una firma che dimostra che possiedi la chiave privata. È questo che rende le passkey resistenti al phishing classico: non c'è una password né un codice monouso che una pagina di accesso falsa possa sottrarre, perché la chiave privata non è qualcosa che si possa indurre a digitare da qualche parte.

La complicazione sta nella parola «sincronizzate». Per consentire a una passkey di funzionare sul telefono, sul laptop e sul tablet, Google Password Manager crittografa e sincronizza le passkey tramite il tuo account Google, invece di vincolarle ciascuna a un singolo dispositivo fisico. Questa comodità offre anche una superficie d'attacco più ampia rispetto a una passkey legata fisicamente a una singola chiave di sicurezza o a un singolo dispositivo.

A cosa punta realmente la ricerca su Pass-ta-key

Secondo quanto riportato sulla ricerca (da Malwarebytes), la scoperta è che il malware in esecuzione su un dispositivo in cui Google Password Manager è sbloccato può dirottare gli account protetti da passkey — non violando la crittografia a chiave pubblica sottostante, ma sfruttando il livello software che memorizza, sblocca e sincronizza le chiavi. In altre parole: la matematica alla base delle passkey non è stata violata. L'obiettivo è tutto ciò che sta intorno alla matematica — il deposito locale, il processo di sblocco, il canale di sincronizzazione.

I dettagli tecnici precisi della catena di exploit non sono stati descritti completamente nelle informazioni finora rese pubbliche, quindi è bene evitare di trasformare la questione nell'affermazione «le passkey sono state compromesse». Ciò che è chiaro, e coerente con il normale funzionamento di questi attacchi, è la forma generale del rischio: se il malware raggiunge un livello di accesso sufficientemente elevato su un dispositivo che dispone di un archivio di passkey sbloccato, può potenzialmente agire al posto tuo all'interno di quell'archivio oppure esportare materiale che consenta a un attaccante di autenticarsi come te altrove.

Perché questo non annulla il motivo per usare le passkey

È facile leggere un titolo del genere come «le passkey hanno fallito». Non è così: hanno bloccato uno specifico attacco estremamente comune, il phishing da remoto, in cui un attaccante, da qualsiasi parte del mondo, ti induce a digitare una password o un codice monouso su un sito falso. Questo attacco continua a non funzionare contro una passkey autentica. Ciò che Pass-ta-key illustra è un modello di minaccia diverso e più vecchio: un attaccante che ha già del codice in esecuzione sul tuo dispositivo. Questa minaccia è sempre esistita e, per le password, era probabilmente peggiore: un keylogger o un infostealer su una macchina infetta poteva catturare con la stessa facilità una password digitata e un cookie di sessione. Le passkey restringono la superficie d'attacco; non eliminano la categoria «il tuo dispositivo è compromesso».

Cosa controllare e cosa fare concretamente

Alcuni passaggi concreti e verificabili, indicativamente in ordine di impatto:

  • Scopri quali delle tue passkey sono sincronizzate e quali sono vincolate al dispositivo. In Google Password Manager (passwords.google.com, nella sezione «Passkey»), puoi vedere cosa è memorizzato e sincronizzato con il tuo account. Una passkey creata e confermata con una chiave di sicurezza fisica (come una YubiKey) che hai non sincronizzato è vincolata a quell'hardware e non è esposta a questo tipo di attacco nello stesso modo.
  • Per gli account di maggior valore — email principale, banca, single sign-on aziendale — preferisci una chiave di sicurezza hardware a una passkey sincronizzata. È leggermente meno comoda (serve la chiave fisica), ma non entra mai in contatto con la sincronizzazione cloud, eliminando del tutto questa superficie d'attacco per quell'account.
  • Mantieni pulito il dispositivo stesso, perché è questo il vero campo di battaglia. Installa tempestivamente gli aggiornamenti del sistema operativo e del browser, evita di installare app o estensioni al di fuori degli store ufficiali e non ignorare gli avvisi dell'antivirus o dell'endpoint: un'infezione da malware è il prerequisito per questo tipo di attacco, quindi una buona igiene del dispositivo svolge una doppia funzione.
  • Attiva il Programma di protezione avanzata di Google se sei un bersaglio plausibile (giornalisti, attivisti, dirigenti, amministratori o chiunque sia già stato preso di mira). Inasprisce le regole di recupero dell'account e di accesso, specificamente contro questo tipo di scenario di acquisizione dell'account.
  • Controlla periodicamente la «Attività di sicurezza recente» del tuo account Google e i dispositivi collegati e rimuovi tutto ciò che non riconosci o non utilizzi più, comprese le vecchie passkey sincronizzate che si trovano su dispositivi che hai ormai sostituito.
  • Non rinunciare al tuo metodo di autenticazione di riserva. Conserva un metodo di recupero (codici di backup, una seconda passkey su un diverso tipo di dispositivo) che non dipenda dallo stesso dispositivo, così non resterai bloccato fuori dall'account se dovrai cancellare e reinstallare il sistema su una macchina infetta.

In breve: le passkey sono ancora meglio delle password e «non soggette al phishing» è ancora un'espressione accurata per descrivere ciò che fanno contro il phishing da remoto. Pass-ta-key ricorda che «non soggetta al phishing» non è mai stata la stessa cosa di «immune a un dispositivo compromesso»; la difesa contro il secondo caso consiste nelle solite cose poco entusiasmanti: aggiorna i dispositivi, fai attenzione al malware e proteggi gli account più importanti con chiavi vincolate all'hardware anziché con chiavi sincronizzate.