Passkey ancora aggirabili attraverso sessioni e log di sistema
I passkey non si rompono sulla crittografia, ma sul contorno che li accredita: se l'attaccante ha già codice in esecuzione, una sessione attiva o materiale sincronizzato, può riusare ciò che il sistema tratta come prova valida. Per questo la promessa di una MFA “phishing-resistant” non basta da sola quando la fiducia passa da log, artefatti firmati e chiavi salvate dal cloud.
Tre ricerche separate hanno mostrato bypass pratici su Microsoft Entra ID, Google Password Manager in Chrome e Windows Hello for Business. Nel caso Microsoft è stato riusato materiale di autenticazione firmato; nel caso Google è stato possibile recuperare chiavi private sincronizzate; nel caso Windows Hello un malware già presente in una sessione aperta ha potuto usare una chiave hardware-bound senza richiedere di nuovo PIN o biometria. Microsoft ha anche corretto CVE-2026-34348 nel Windows Event Logging Service.
Per i team IAM il punto è che la superficie di attacco non finisce nel passkey in sé. Se il modello di fiducia dipende da sincronizzazione cloud, sessioni già aperte o artefatti locali, anche credenziali pensate per resistere al phishing possono diventare recuperabili o riusabili.