Pass-ta-key: cómo el malware puede secuestrar las passkeys de Google en Windows
Unit 42, de Palo Alto Networks, divulgó el 3 de agosto de 2026 tres técnicas —Pass ta key, Silver Pass ta key y Golden Pass ta key— dirigidas contra Google Password Manager en Chrome para Windows [2][3][7]. Los ataques requieren que el equipo ya esté infectado con malware, pero no rompen la criptografía de WebAuthn...
Publicado porEditado con DeepSeek-V4-FlashImágenes generadas con GPT Image 1.5
Unit 42, de Palo Alto Networks, divulgó el 3 de agosto de 2026 tres técnicas —Pass ta key, Silver Pass ta key y Golden Pass ta key— dirigidas contra Google Password Manager en Chrome para Windows [2][3][7].
Los ataques requieren que el equipo ya esté infectado con malware, pero no rompen la criptografía de WebAuthn o FIDO2: explotan fallos de implementación en la confianza del dispositivo y el proceso de incorporación de...
La variante Golden Pass ta key puede recuperar el Security Domain Secret (SDS), la clave maestra que protege las passkeys sincronizadas; entre las defensas recomendadas están usar una llave física y activar la Protecc...
What three "Pass-ta-key" techniques did Palo Alto Networks' Unit 42 discover that allow malware on compromised Windows PCs to hijack passkeyUnit 42 researchers demonstrated three attack techniques that exploit implementation flaws in Chrome's cloud authenticator and device onboarding workflows.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: What three "Pass-ta-key" techniques did Palo Alto Networks' Unit 42 discover that allow malware on compromised Windows PCs to hijack passkey. Article summary: On August 3, 2026, Palo Alto Networks' Unit 42 disclosed three attack techniques — **Pass-ta-key**, **Silver Pass-ta-key**, and **Golden Pass-ta-key** — that allow malware already running with standard user privileges on. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
openai.com
Las passkeys están diseñadas para sustituir a las contraseñas y evitar que un atacante pueda iniciar sesión sin una comprobación del dispositivo o del usuario. Sin embargo, una investigación de Unit 42, la división de inteligencia de amenazas de Palo Alto Networks, muestra que esa protección puede debilitarse si el equipo Windows ya está infectado.
El 3 de agosto de 2026, los investigadores describieron tres técnicas —Pass-ta-key, Silver Pass-ta-key y Golden Pass-ta-key— contra las passkeys sincronizadas mediante Google Password Manager en Chrome . Las tres requieren que el malware ya se esté ejecutando en el ordenador de la víctima con los privilegios de un usuario estándar. No necesitan permisos de administrador, una huella dactilar, un PIN ni una interacción visible del usuario .
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
¿Cuál es la respuesta corta a "Pass-ta-key: cómo el malware puede secuestrar las passkeys de Google en Windows"?
Unit 42, de Palo Alto Networks, divulgó el 3 de agosto de 2026 tres técnicas —Pass ta key, Silver Pass ta key y Golden Pass ta key— dirigidas contra Google Password Manager en Chrome para Windows [2][3][7].
¿Cuáles son los puntos clave a validar primero?
Unit 42, de Palo Alto Networks, divulgó el 3 de agosto de 2026 tres técnicas —Pass ta key, Silver Pass ta key y Golden Pass ta key— dirigidas contra Google Password Manager en Chrome para Windows [2][3][7]. Los ataques requieren que el equipo ya esté infectado con malware, pero no rompen la criptografía de WebAuthn o FIDO2: explotan fallos de implementación en la confianza del dispositivo y el proceso de incorporación de...
¿Qué debo hacer a continuación en la práctica?
La variante Golden Pass ta key puede recuperar el Security Domain Secret (SDS), la clave maestra que protege las passkeys sincronizadas; entre las defensas recomendadas están usar una llave física y activar la Protecc...
La investigación no demuestra que se haya roto la criptografía subyacente de WebAuthn o FIDO2. El problema está en cómo Chrome y el autenticador en la nube de Google gestionan la identidad del dispositivo, la verificación del usuario y la incorporación de nuevos dispositivos .
Las tres técnicas, de menor a mayor impacto
Pass-ta-key: una autenticación válida sin aviso
En el ataque básico, el malware extrae del archivo local passkey_enclave_state la clave de identidad del dispositivo protegida por el TPM de Windows. Después utiliza llamadas legítimas a las API de criptografía CNG de Windows para firmar solicitudes controladas por el atacante.
El resultado es una aserción válida de WebAuthn sin que aparezca en pantalla una solicitud de biometría o PIN. No obstante, el ataque básico solo funciona contra servicios que no comprueban el indicador User Verified (UV) incluido en los datos del autenticador .
Qué aprovecha: la confianza del autenticador en la clave de identidad almacenada localmente y el hecho de que algunos sitios no hagan cumplir la verificación del usuario en el servidor.
Silver Pass-ta-key: cómo se sortea la verificación del usuario
La segunda técnica elimina o invalida el archivo passkey_enclave_state para obligar a Chrome a volver a incorporar el dispositivo. Durante ese proceso, Chrome crea temporalmente la clave de verificación del usuario mediante un flujo diferido.
El atacante aprovecha esa ventana para registrar su propia clave de verificación. Como el autenticador en la nube de Google no valida la atestación de la nueva clave, las aserciones que esta firma incluyen el indicador UV activado, con valor 1. De ese modo, pueden superar incluso a los sitios que sí exigen la verificación del usuario .
El acceso obtenido puede mantenerse y reutilizarse desde el equipo del atacante: el ordenador de la víctima ya no necesita estar conectado.
Qué aprovecha: la falta de validación de atestación durante la reincorporación del dispositivo y la posibilidad de borrar el archivo de estado del enclave sin protecciones suficientes.
Golden Pass-ta-key: la variante que apunta a la clave maestra
La técnica más grave repite el proceso de reincorporación y, a continuación, analiza la memoria del proceso de Chrome para recuperar el Security Domain Secret (SDS). Se trata de una clave simétrica de 32 bytes que cifra todas las claves privadas de las passkeys sincronizadas en la cuenta de Google de la víctima.
Con el SDS, el atacante puede descifrar las claves privadas existentes y también las nuevas que se sincronicen después. Eso abre la puerta al control total de las cuentas protegidas por esas passkeys .
Unit 42 señaló además que Google había registrado anteriormente el SDS en texto plano en la salida chrome://device-log/FIDO de Chrome. Google eliminó ese registro después de recibir la comunicación de los investigadores, pero el problema de exposición del secreto en la memoria del proceso seguía presente en el momento de la publicación .
Qué aprovecha: la presencia del SDS en texto plano dentro de la memoria de Chrome durante el flujo de incorporación del dispositivo.
¿Qué sitios estaban expuestos?
El ataque Pass-ta-key básico puede afectar a cualquier servicio que no valide el indicador UV. Unit 42 identificó a eBay como uno de los sitios que no aplicaba esa comprobación; la compañía ya ha corregido el problema .
Los investigadores también indicaron que un número «sorprendente» de sitios solicita userVerification: "required" durante el registro, pero después no verifica el bit UV que devuelve el autenticador . En otras palabras, pedir una comprobación no basta: el servicio debe validar su resultado en el servidor.
Qué significa el robo del SDS
El SDS funciona como una llave maestra para las passkeys sincronizadas de una cuenta de Google. Si un atacante consigue extraerlo:
Puede descifrar todas las claves privadas de passkeys sincronizadas que ya existan, así como las que se sincronicen posteriormente .
Puede autenticarse en cualquier cuenta protegida por esas passkeys, incluido Gmail, sin necesitar una nueva acción de la víctima .
El acceso a Gmail puede permitir restablecer las contraseñas de otros servicios vinculados, ampliando el alcance del incidente más allá de las cuentas atacadas directamente .
No existe un mecanismo integrado para rotar el SDS: Google no ofrece a los usuarios una forma de generar uno nuevo .
Medidas recomendadas
A partir de los hallazgos de Unit 42, las principales recomendaciones son:
Registrar al menos una llave de seguridad física, como una YubiKey, además de la passkey sincronizada. Las credenciales vinculadas al dispositivo no se sincronizan con la nube, no se almacenan en el estado del enclave de Chrome y no pueden recuperarse de esa memoria .
Activar el Programa de Protección Avanzada de Google si se trata de una cuenta de alto riesgo, por ejemplo, de periodistas, directivos, activistas o administradores. El programa exige llaves de seguridad o passkeys vinculadas al dispositivo y refuerza los procesos de recuperación .
Revisar mensualmente la lista de dispositivos de la cuenta de Google y cerrar las sesiones que no se reconozcan .
Tratar una infección por malware ladrón de información como un incidente de restablecimiento completo de credenciales. Tras recuperar la cuenta, conviene reinstalar o reconstruir el equipo y volver a registrar todas las passkeys desde un dispositivo limpio .
Para los servicios que aceptan passkeys, validar el indicador UV en el servidor y utilizar userVerification: "required", en lugar de "preferred", para las operaciones sensibles .
Estado de la investigación
En la fecha de publicación, el 3 de agosto de 2026, no se había asignado un identificador CVE a estos problemas. Google tampoco había confirmado públicamente si corregiría directamente las rutas Silver Pass-ta-key o Golden Pass-ta-key .
La conclusión principal de Unit 42 es clara: una passkey puede seguir estando protegida criptográficamente y, aun así, quedar expuesta si el dispositivo desde el que se utiliza ya está comprometido. En este escenario, la seguridad del equipo Windows y el uso de una credencial vinculada a un dispositivo físico son tan importantes como la propia tecnología sin contraseña.
etvbharat.comGoogle Passkeys Can Be Hacked Without Fingerprint Or PIN, Researchers Warn
