Passkeys: há 39 formas de contornar o login sem palavra-passe. E a culpa não é da cifra

A autenticação sem palavra-passe deixou de ser promessa e passou a ser regra em grandes plataformas — mas 2026 também trouxe o inventário mais completo de formas de a contornar. Uma compilação divulgada esta semana reúne dezenas de técnicas conhecidas contra passkeys e, segundo a síntese que circula sobre esse trabalho, estão documentados 39 métodos para comprometer a autenticação construída em torno de passkeys, abusando de avisos de autenticação, credenciais sincronizadas, registo, recuperação e outras fronteiras de confiança, sem quebrar a criptografia FIDO2. O número em si tem valor sobretudo indicativo — é uma contagem feita numa peça assinada por um fabricante de autenticadores —, mas assenta em investigação verificável apresentada nas últimas semanas pela SpecterOps, pela Unit 42 da Palo Alto Networks e por investigadores independentes.

Uma contagem que resume três investigações independentes

A leitura correta destes 39 métodos não é «as passkeys estão partidas». É antes que o modelo de ameaça mudou de sítio. A própria Unit 42 é explícita: os ataques apresentados não quebram a criptografia subjacente, explorando antes as lacunas entre os pressupostos de desenho e as implementações reais. E acrescenta um ponto que interessa a qualquer responsável de segurança: o comprometimento do endpoint continua a ser parte crítica do modelo de ameaça, porque quando as decisões de autenticação dependem de sinais do dispositivo do utilizador, quem controla esse dispositivo pode manipular esses sinais de forma difícil de detetar.

Para dimensionar o problema, convém lembrar a escala. A FIDO Alliance estimou, no World Passkey Day 2026, que existem cerca de 5 mil milhões de passkeys em uso a nível mundial, com 90% das pessoas a conhecerem a tecnologia, 75% a terem ativado uma passkey em pelo menos uma conta e 68% das organizações a implementarem ou a estarem a implementar passkeys para os colaboradores.

Pass-the-Passkey: reutilizar assinaturas legítimas

A peça mais mediática saiu da Black Hat USA 2026. Michael Grafnetter, investigador principal da SpecterOps, apresentou a 5 de agosto a família de ataques «Pass-the-Passkey», acompanhada de um documento técnico de 72 páginas que descreve três falhas em Windows 11 e Microsoft Entra ID, mais de 20 técnicas de ataque e um conjunto de ferramentas disponibilizado em código aberto. O próprio investigador demonstrou publicamente o cenário central: uma asserção WebAuthn gerada numa autenticação recente com YubiKey é extraída do registo de eventos do Windows e reproduzida contra o Microsoft Entra ID.

O lado do sistema operativo já foi corrigido. A Microsoft corrigiu a componente Windows a 14 de julho, como CVE-2026-34348, truncando a assinatura registada para seis bytes, de modo a manter os eventos úteis para diagnóstico mas inúteis para reprodução.

A parte menos confortável é a do lado do servidor: a investigação aponta falhas na aplicação dos controlos anti-replay previstos na especificação WebAuthn — unicidade do desafio, ligação à sessão e verificação do contador de assinaturas. Investigação independente de Dirk-jan Mollema seguiu por outra via, mostrando que processos com poucos privilégios numa sessão Windows já comprometida conseguem gerar novas asserções WebAuthn através do Windows Hello sem nova verificação por PIN ou biometria.

Pass-ta-key: quando o alvo são as passkeys sincronizadas

Em paralelo, a Unit 42 divulgou uma família de ataques batizada «Pass-ta-key», centrada nas passkeys sincronizadas da Google. Malware já presente numa máquina Windows com Chrome pode analisar a base de dados local de sincronização para descobrir que contas estão protegidas por passkeys, recuperar uma chave de identidade do dispositivo que o Chrome guarda em disco ou memória e assinar um desafio do serviço de autenticador na nuvem sem qualquer pedido biométrico, desbloqueio do dispositivo ou privilégios elevados — passando o pedido por um dispositivo legítimo e de confiança.

As variantes agravam o cenário. Na versão «Silver Pass-ta-key», o malware força o Chrome a um processo de novo registo do dispositivo e, numa janela curta, regista a sua própria chave de verificação do utilizador no autenticador na nuvem, podendo depois autenticar-se a partir de outra máquina. A técnica mais grave, «Golden Pass-ta-key», extrai um segredo mestre que aparece brevemente na memória do processo do Chrome durante a reinscrição e permite decifrar todas as chaves privadas sincronizadas da conta, incluindo passkeys futuras. Um detalhe revela o outro lado do problema — o das aplicações que aceitam a autenticação: o primeiro método só funcionou num serviço concreto porque este não validava a flag que indica se a verificação do utilizador chegou a ocorrer.

Inscrição e recuperação: o elo já explorado no mundo real

Se as duas investigações anteriores exigem malware no equipamento, o vetor que já se vê em campanhas ativas é bem mais simples: registar uma passkey do atacante numa conta legítima. O padrão é repetível — obter um fator suscetível de phishing ou uma sessão válida, abrir as definições genuínas de credenciais, registar uma nova passkey e usá-la depois de a sessão original ou a palavra-passe serem invalidadas, porque uma passkey sobrevive à reposição da palavra-passe. Ferramentas comerciais já embalam este fluxo: investigadores da Abnormal AI descreveram um kit anunciado num fórum criminoso de língua russa por 10 mil dólares, com demonstrações de acesso a uma conta Google via login obtido por phishing e registo de uma passkey separada, havendo versões anunciadas para Microsoft, iCloud e LinkedIn.

O calendário empresarial aumenta a exposição a este tipo de engano. A Microsoft anunciou que, a 1 de setembro de 2026, as passkeys passam a ser a experiência de autenticação por omissão no Entra, com os utilizadores configurados para SMS ou chamadas de voz a serem ativados automaticamente e convidados a registar uma passkey, e que a 1 de fevereiro de 2027 será descontinuada a entrega própria de SMS e voz. Milhões de pessoas serão levadas a inscrever credenciais num momento escolhido por terceiros — cenário ideal para pretextos telefónicos e páginas de registo falsas.

Cronologia essencial

Medidas concretas de mitigação

• Aplicar as atualizações do Windows de julho de 2026 ou posteriores em todos os postos, com prioridade para máquinas de administração.
• Restringir e monitorizar o acesso remoto a registos de eventos, em particular Microsoft-Windows-WebAuthN/Operational.
• Exigir chaves FIDO2 físicas, não exportáveis, com PIN ou biometria por autenticação, para contas de administração e acessos críticos; reservar passkeys sincronizadas para utilizadores comuns.
• Tratar o registo de uma nova passkey como evento de segurança: alerta obrigatório, revisão periódica das credenciais associadas e remoção das que não sejam reconhecidas.
• Eliminar fallbacks fracos (SMS, códigos por e-mail, aprovação por push) que permitam contornar a autenticação resistente a phishing.
• Endurecer o helpdesk e a recuperação de conta, hoje o ponto de entrada preferido para reinscrever credenciais.
• Nas aplicações próprias, validar rigorosamente a asserção WebAuthn, incluindo a flag de verificação do utilizador, a unicidade do desafio e a origem.

Porque é que isto importa em Portugal

Muitas organizações portuguesas estão neste momento a documentar a autenticação forte como medida de gestão de risco no âmbito do Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2). Esta investigação mostra que escrever «MFA resistente a phishing implementada» não encerra o assunto: é preciso demonstrar também gestão de vulnerabilidades no endpoint, controlo do ciclo de vida das credenciais e monitorização das inscrições. Uma tomada de controlo de conta por esta via é, na prática, um incidente de segurança com potencial impacto em dados pessoais, o que aciona os deveres de notificação junto do CNCS/CERT.PT e, quando aplicável, da CNPD ao abrigo do RGPD.

Para PME e cidadãos, a conclusão prática é tranquilizadora e exigente ao mesmo tempo: as passkeys continuam a ser das melhores defesas disponíveis contra phishing clássico e reutilização de palavras-passe, mas não substituem um computador limpo, atualizado e com proteção de endpoint. Se o dispositivo estiver comprometido, o problema deixa de ser a autenticação e passa a ser a integridade da sessão.

Perguntas frequentes

As passkeys deixaram de ser seguras?

Não. Nenhuma das técnicas divulgadas quebra a criptografia FIDO2 nem torna as passkeys piores do que palavras-passe. Os ataques exploram a implementação em torno das passkeys: registos, sincronização, verificação do utilizador, inscrição e recuperação.

Preciso de deixar de usar passkeys sincronizadas?

Não necessariamente. Para a maioria dos utilizadores as passkeys sincronizadas continuam a compensar. Para contas de administração e acessos críticos, a recomendação é usar chaves FIDO2 físicas ligadas ao dispositivo, com PIN ou biometria a cada autenticação.

Que atualização devo aplicar com urgência?

As atualizações de segurança do Windows de julho de 2026 ou posteriores, que corrigem a falha CVE-2026-34348 no serviço de registo de eventos, com pontuação CVSS 6.5 atribuída pelo fabricante.

Como sei se alguém registou uma passkey na minha conta?

Consulte a lista de métodos de autenticação nas definições de segurança da conta e verifique se existem credenciais ou dispositivos que não reconhece. Remova-os, termine todas as sessões ativas e ative alertas para novos registos de credenciais.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela SpecterOps, pela Unit 42 da Palo Alto Networks, pela FIDO Alliance, pela Microsoft e por investigadores independentes de segurança.