Ataques Pass-ta-key permiten a malware secuestrar claves de acceso sincronizadas con Google

El 3 de agosto de 2026, investigadores de Palo Alto Networks' Unit 42 describieron tres ataques que permiten a malware instalado en dispositivos Windows comprometidos abusar de las claves de acceso sincronizadas mediante Google Password Manager. Las técnicas, agrupadas bajo el nombre Pass-ta-key, pueden facilitar la toma de cuentas, eludir determinados controles de verificación del usuario y extraer las claves privadas asociadas a las passkeys.

Los ataques afectan a Google Password Manager en Chrome sobre dispositivos Windows equipados con Trusted Platform Module (TPM). No rompen la criptografía de las claves de acceso ni permiten actuar sin una infección previa: el malware debe estar ejecutándose en el equipo de la víctima. Sin embargo, las técnicas aprovechan debilidades en la confianza entre dispositivos, los procesos de incorporación y recuperación, y el tratamiento de las credenciales sincronizadas.

La primera técnica, denominada Pass-ta-key, permite a un malware sin privilegios de administrador hacerse pasar por un dispositivo de confianza y solicitar una respuesta de autenticación válida para una passkey de la víctima. Para ello, abusa de la clave de identidad del dispositivo respaldada por el TPM de Chrome y firma una petición dirigida al autenticador en la nube de Google. La operación no requiere interacción del usuario, datos biométricos, desbloquear el dispositivo ni privilegios elevados.

El autenticador en la nube interpreta la petición como procedente del equipo de confianza y devuelve una respuesta firmada, conocida como assertion, que puede utilizarse para iniciar sesión en la cuenta objetivo. La respuesta incorpora un indicador User Verified, que señala si se produjo una verificación mediante PIN o biometría. Por ese motivo, el ataque no funciona cuando un servicio exige y valida correctamente ese indicador.

Unit 42 comprobó que Pass-ta-key no funcionaba contra GitHub, que verificaba adecuadamente User Verified. En cambio, los investigadores lograron utilizarlo contra eBay, pese a que el servicio exigía verificación del usuario, porque no validaba correctamente el indicador que confirmaba si se había realizado. eBay corrigió posteriormente el problema tras recibir el informe de los investigadores.

La segunda técnica, Silver Pass-ta-key, permite ir más allá y registrar una clave de verificación controlada por el atacante en el autenticador en la nube de Google. El malware fuerza primero a Chrome a volver a registrar el dispositivo, invalidando la clave de verificación existente o eliminando el archivo local que contiene el estado de las passkeys. Durante el proceso, el atacante puede registrar su propia clave porque el autenticador no comprueba que la nueva proceda de hardware de confianza.

Google acepta entonces las peticiones firmadas con esa clave como prueba de que la víctima desbloqueó el dispositivo mediante PIN o biometría. Esto permite acceder también a cuentas que exigen y validan correctamente la verificación del usuario. Una vez registrada la clave maliciosa, el atacante puede autenticarse desde otro sistema sin mantener acceso al ordenador comprometido.

La tercera técnica, Golden Pass-ta-key, es la más grave. Permite obtener la clave maestra que cifra todas las passkeys sincronizadas a través de la cuenta de Google Password Manager. Esta clave, denominada security domain secret (SDS), se envía temporalmente a Chrome cuando un dispositivo se registra o recupera el acceso a la cuenta.

Unit 42 descubrió inicialmente que Chrome exponía el secreto en texto plano mediante sus registros internos de FIDO. Google eliminó esa exposición de los registros después de recibir el informe, pero los investigadores aseguran que el SDS continúa enviándose al cliente y permanece temporalmente accesible en la memoria del proceso de Chrome. Si el atacante fuerza un nuevo registro y conoce el patrón que debe buscar, puede extraerlo directamente de la memoria.

Con la clave maestra robada, el atacante puede descifrar los registros de passkeys sincronizados, recuperar sus claves privadas, trasladarlas a otro sistema e impersonar a la víctima para iniciar sesión en sus cuentas. Unit 42 advierte además de que la misma clave podría descifrar futuras passkeys sincronizadas. Según los investigadores, la implementación actual de Google no ofrece un mecanismo para rotar o revocar esa clave, por lo que las credenciales actuales y futuras seguirían protegidas por el mismo secreto.

Unit 42 mantiene que las passkeys siguen siendo considerablemente más seguras que las contraseñas tradicionales, pero sus hallazgos muestran que no eliminan los riesgos asociados al malware que ya controla un dispositivo. La organización recomienda que los servicios exijan y validen correctamente la verificación del usuario, que los gestores de credenciales comprueben las claves de dispositivos registradas y que se refuercen los procesos de recuperación y de nuevo registro. También aconseja evitar que las claves maestras queden accesibles en la memoria del navegador.

Los investigadores comunicaron los ataques contra Google Password Manager a Google y notificaron los problemas relacionados con la verificación del usuario a los servicios afectados, incluido eBay. BleepingComputer contactó con Google para solicitar comentarios y confirmar si los ataques descritos habían sido corregidos por completo, pero no había recibido respuesta inmediata. Fuente: BleepingComputer.