As chaves de acesso (passkeys) são apresentadas como o substituto seguro e resistente a phishing das palavras-passe, mas uma investigação recente mostra que implementações reais podem ser contornadas com técnicas conceptualmente semelhantes a ataques clássicos de hacking em ambientes Windows. O investigador Michael Grafnetter, da SpecterOps, batizou esta categoria de ataques como «Pass-the-Passkey» e vai apresentá-la na conferência Black Hat USA, alertando que o problema não está no protocolo criptográfico em si, mas em falhas de implementação em produtos de grande escala, incluindo o Windows 11 e o Microsoft Entra ID.
Resposta rápida: A investigação «Pass-the-Passkey» demonstra que várias implementações reais de passkeys podem ser exploradas com ataques de repetição (replay) e retransmissão (relay), semelhantes ao Pass-the-Hash e ao NTLM Relay. As passkeys continuam mais seguras do que as palavras-passe, mas a falha está na implementação e não na criptografia. Organizações que usam o Entra ID e o Windows 11 devem acompanhar as correções dos fabricantes e reforçar a monitorização de acessos.
O que são as passkeys e porque são consideradas seguras
As passkeys assentam nas normas FIDO2/WebAuthn, desenvolvidas em conjunto pela FIDO Alliance e pelo World Wide Web Consortium (W3C). Consistem num par de chaves de criptografia pública: a chave pública é armazenada no serviço e a chave privada permanece protegida no dispositivo. Este modelo elimina segredos partilhados e, por isso, é tido como resistente a phishing e a fugas de dados.
A resistência ao phishing resulta de um mecanismo importante: a chave pública fica ligada criptograficamente ao rpId (identificador da relying party), e uma página de login falsa não consegue receber uma asserção válida porque tem a origem errada. Na prática, uma passkey criada para um domínio legítimo não pode ser usada num site fraudulento — o que a torna substancialmente mais robusta do que palavras-passe ou códigos por SMS.
A investigação «Pass-the-Passkey»
Michael Grafnetter é Principal Security Researcher na SpecterOps, especializado em segurança de identidade, autor do módulo DSInternals e criador do ataque Shadow Credentials. Na sua análise, chamou à cadeia «Pass-the-Passkey» porque espelha técnicas de hacking em Windows como o Pass-the-Hash e o NTLM Relay, em que os atacantes roubam e reutilizam credenciais de autenticação sem precisarem da palavra-passe verdadeira.
O investigador é claro quanto à natureza do problema. «As passkeys continuam a ser uma grande melhoria em relação às palavras-passe, mas não são mágicas», disse à Dark Reading, acrescentando que se a implementação envolvente estiver falha, os atacantes conseguem reintroduzir caminhos de ataque de repetição, retransmissão e semelhantes a phishing, mesmo quando a criptografia WebAuthn subjacente está correta.
De acordo com a própria descrição de Grafnetter, a investigação mostrou que várias implementações reais são vulneráveis a ataques fundamentalmente semelhantes ao Pass-the-Hash e ao NTLM Relay, categoria a que chama Pass-the-Passkey. A causa raiz é a complexidade da norma: a especificação WebAuthn impõe um processo de validação de passkey de 22 passos, com criptografia não-trivial e processamento transacional, pelo que é fácil errar na implementação — mesmo para empresas que coautoraram a norma.
As falhas encontradas no Windows 11 e no Entra ID
A investigação, segundo a Dark Reading, revelou três vulnerabilidades de dia-zero quase exploráveis no Windows 11 e no Microsoft Entra ID. Duas delas encadeavam-se num ataque de repetição com consequências graves: formaram uma cadeia de replay que poderia eventualmente permitir a atacantes personificar identidades privilegiadas na cloud, contornando a autenticação multifator (MFA) resistente a phishing.
O problema técnico central prende-se com o registo e a reutilização das asserções. A investigação da SpecterOps descobriu que o Windows 11 estava essencialmente a escrever uma cópia completa da chave digital no registo de eventos e, além disso, o Entra ID falhava em impedir corretamente que essas asserções fossem reutilizadas. Grafnetter refere ainda demonstrações adicionais: uma implementação de passkey num grande serviço de cloud vulnerável aos próprios ataques que deveria prevenir; assinaturas YubiKey antigas armazenadas em texto simples e legíveis por utilizadores autenticados sem privilégios, mesmo remotos; e personificação de identidades privilegiadas contornando a MFA resistente a phishing e permanecendo invisível a soluções XDR populares.
Importa contextualizar os prazos: a investigação será apresentada na Black Hat USA em Las Vegas, de 1 a 6 de agosto de 2026. Grafnetter anunciou ainda que tenciona disponibilizar as ferramentas em código aberto para ajudar outros pentesters a descobrir mais vulnerabilidades decorrentes de verificação de passkeys não conforme.
Não é um caso isolado: o problema da implementação
A conclusão de Grafnetter alinha-se com o que outros investigadores têm documentado. As passkeys eliminam o phishing ao ligar a autenticação a uma origem através de criptografia de chave pública — o protocolo é sólido, mas as implementações introduzem fraquezas que anulam as garantias de segurança. Um ponto sensível é a recuperação de contas: os fluxos de recuperação que recorrem a email, SMS ou perguntas de segurança reintroduzem todas as vulnerabilidades de phishing e SIM-swap que as passkeys deviam eliminar.
Há exemplos concretos já com identificador atribuído. No servidor de código aberto StrongKey FIDO Server, a falha CVE-2025-26788 afeta as versões 4.10.0 a 4.15.0 e permite tomar o controlo da conta de qualquer utilizador registado, devido a uma falha no fluxo de autenticação de credenciais não descobríveis. Também no plano do phishing, o investigador Tobia Righi demonstrou um vetor em browsers móveis já corrigido: foram lançadas atualizações de segurança para os principais browsers — Chrome/Edge (outubro de 2024), Firefox (fevereiro de 2025) e Safari (janeiro de 2025) — associadas à CVE-2024-9956.
Ainda assim, o balanço da comunidade de segurança continua favorável às passkeys. Uma análise académica de vetores de ataque contra o FIDO2 concluiu que os ataques bem-sucedidos exigem esforço e recursos substanciais, e que a alegação de que as passkeys são resistentes a phishing se mantém em larga medida verdadeira, elevando significativamente a fasquia face à autenticação baseada em palavras-passe.
Porque é que isto importa agora: as passkeys por defeito no Entra ID
O momento da investigação não é casual. A partir de 1 de setembro de 2026, as passkeys tornam-se a experiência de autenticação por defeito no Microsoft Entra ID; à medida que o rollout chega a cada organização, os utilizadores com SMS ou voz serão automaticamente ativados para passkeys e, na autenticação multifator seguinte, serão convidados a registar uma. A Microsoft justifica a mudança com a evolução das ameaças: a sua Threat Intelligence observou campanhas de phishing potenciadas por IA a atingir taxas de cliques até 54%, contra cerca de 12% em campanhas mais tradicionais.
O calendário prolonga-se para 2027. A partir de 1 de fevereiro de 2027, a entrega de SMS e voz por telecomunicações fornecidas pela Microsoft será descontinuada, e os clientes que ainda precisem destes métodos deverão configurar fornecedores próprios através da Microsoft Security Store. Para quem já usa métodos mais fortes, nada muda: os utilizadores que já iniciam sessão com passkeys, Windows Hello for Business, chaves de segurança FIDO2, smart cards ou outro método resistente a phishing poderão continuar a usá-los.
| Data | Marco |
|---|---|
| 1 set. 2026 | Passkeys tornam-se o método por defeito; utilizadores de SMS/voz são ativados e convidados a registar passkey |
| 18 set. 2026 | Microsoft publica fornecedores suportados, orientações e preços via Security Store |
| 1 fev. 2027 | Fim da entrega nativa de SMS e voz pela Microsoft |
| 1–6 ago. 2026 | Apresentação da investigação «Pass-the-Passkey» na Black Hat USA |
O que fazer: recomendações práticas
- Manter o Windows 11 e os sistemas de identidade atualizados e acompanhar avisos oficiais da Microsoft sobre correções relacionadas com WebAuthn/FIDO2.
- Rever a monitorização de logs e telemetria, dado que parte destes ataques pode passar despercebida a soluções XDR e a asserções expostas em registos de eventos.
- Não usar código próprio para validação de passkeys: o risco principal não está na norma, mas em implementações incompletas ou incorretas, pelo que os programadores devem apoiar-se em frameworks WebAuthn bem testadas em vez de as construir de raiz.
- Endurecer os fluxos de recuperação de conta, evitando degradar a segurança para SMS, email ou perguntas de segurança.
- Ativar proteções contra cross-site scripting: as aplicações devem garantir defesas XSS, como Content Security Policy e, quando possível, Trusted Types, para que uma vulnerabilidade XSS na origem não permita o phishing de passkeys.
Relevância para Portugal
A migração massiva do Entra ID para passkeys afeta diretamente empresas e organismos públicos portugueses que usam o ecossistema Microsoft 365 para gerir identidades de colaboradores. No enquadramento nacional, o Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a diretiva NIS2) reforça as obrigações de gestão de risco e de controlo de acessos para entidades essenciais e importantes — e a autenticação forte e resistente a phishing é peça central dessas medidas. As passkeys são, sem dúvida, um avanço face a palavras-passe e a códigos SMS, mas esta investigação recorda que a segurança depende de uma implementação correta e de vigilância contínua, algo que o CNCS e o CERT.PT sublinham nas suas orientações. Do ponto de vista do RGPD, uma tomada de controlo de contas privilegiadas pode resultar numa violação de dados pessoais com dever de notificação à CNPD, o que torna a boa configuração destes sistemas ainda mais crítica para PME e para grandes organizações.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela SpecterOps/DSInternals (Michael Grafnetter), pela Microsoft e por investigadores de segurança citados.