Attaque passkeys : 3 scénarios pour voler vos comptes
Les nouvelles attaques ciblant les passkeys mettent en péril la sécurité des comptes en exploitant la confiance entre appareils et services cloud.
Les passkeys synchronisées sont visées par une nouvelle vague d’attaques qui change la donne en cybersécurité. Des chercheurs ont montré qu’un malware déjà présent sur un PC peut contourner une partie de l’authentification sans mot de passe, puis viser la protection des comptes et la vie privée de l’utilisateur.
Le point clé est simple. Le problème ne casse pas la cryptographie des passkeys. Il exploite plutôt la confiance entre l’appareil, le navigateur et le service cloud qui synchronise les clés.
Ce que montrent ces nouvelles attaques
Les chercheurs ont décrit trois scénarios distincts, baptisés Pass-ta-key, Silver Pass-ta-key et Golden Pass-ta-key. Tous ciblent Google Password Manager et l’écosystème Chrome sur Windows.
Le premier scénario permet à un malware de se faire passer pour un appareil de confiance et de demander une réponse d’authentification valide, sans déclencher forcément de validation visible par l’utilisateur.
Le second va plus loin. Il abuse du réenrôlement de l’appareil pour enregistrer sa propre clé de vérification utilisateur, puis permet une connexion depuis une autre machine.
Le troisième est le plus inquiétant. Il vise la security domain secret, aussi appelée SDS, une clé maîtresse utilisée pour chiffrer les passkeys synchronisées. Si elle est récupérée, l’attaquant peut déchiffrer les clés présentes et futures d’un compte.
Le danger ne vient pas d’une faille dans WebAuthn lui-même, mais de la chaîne de confiance autour des passkeys synchronisées.
Pourquoi la synchronisation change le risque
Une passkey classique reste liée à un appareil. C’est sa grande force. La clé privée ne sort pas du matériel, ce qui réduit fortement le vol direct d’identifiants.
Avec une passkey synchronisée, la clé peut être copiée entre plusieurs appareils via un compte cloud. C’est pratique au quotidien. C’est aussi ce qui élargit la surface d’attaque, car le compte de synchronisation et ses mécanismes de récupération deviennent des cibles.
Autrement dit, un attaquant n’a pas besoin de “casser” la passkey. Il lui suffit souvent de viser le maillon faible autour. C’est exactement ce que montrent ces analyses.
La synchronisation apporte du confort, mais elle ajoute un point de confiance supplémentaire.
Les scénarios de contournement à connaître
Dans le premier cas, le malware reste discret. Il s’appuie sur les processus du navigateur et du gestionnaire d’identifiants pour obtenir une authentification signée. L’utilisateur ne voit pas toujours de demande de code PIN ou de biométrie.
Dans le second cas, l’attaquant exploite le réenrôlement. Il pousse l’appareil à se réinscrire, puis remplace ou ajoute une clé de vérification contrôlée par le pirate.
Dans le troisième cas, le risque est plus large. La clé maîtresse peut être exposée dans la mémoire du navigateur lors d’opérations de récupération ou d’enregistrement. Si elle fuit, toutes les passkeys synchronisées du compte tombent.
3 scénarios sont donc à surveiller, avec un niveau de gravité croissant.
Ce que vous pouvez faire dès maintenant
Premier réflexe, gardez un système sain. Faites les mises à jour de Windows, de Chrome et de votre suite de sécurité sans attendre. Un malware doit d’abord s’installer avant de contourner quoi que ce soit.
Ensuite, vérifiez vos comptes cloud. Si un appareil inconnu apparaît dans votre espace Google, Microsoft ou Apple, retirez-le immédiatement. C’est souvent là que l’attaque laisse une trace.
Pensez aussi aux passkeys elles-mêmes. Quand le service le permet, privilégiez les clés matérielles pour les comptes les plus sensibles. Une clé FIDO2 physique réduit la dépendance au cloud et limite les risques liés à la synchronisation.
Je conseille aussi de séparer les usages. Gardez les comptes critiques sur une clé matérielle. Réservez les passkeys synchronisées aux services du quotidien, moins sensibles.
Voici les vérifications les plus utiles, dans cet ordre :
- Contrôlez les appareils connectés à votre compte principal.
- Retirez les sessions que vous ne reconnaissez pas.
- Activez la double vérification du compte cloud quand elle existe.
- Installez les correctifs du navigateur et du système.
- Évitez d’installer des extensions non vérifiées.
Si vous gérez un parc ou un compte pro, la prudence doit monter d’un cran. Il faut surveiller les événements de réinscription, les changements de facteurs d’authentification et les connexions inhabituelles.
Les bons réglages à passer en revue
Sur Google, allez dans les paramètres de sécurité du compte et inspectez les méthodes de connexion, les appareils de confiance et les sessions ouvertes. Sur un compte Apple ou Microsoft, le principe reste le même : vérifier les appareils, les méthodes de récupération et les notifications de connexion.
Sur le poste Windows, je recommande de vérifier le Gestionnaire des tâches, les extensions du navigateur et les programmes au démarrage. Un malware de ce type doit généralement persister quelque part.
Pour aller plus loin, la documentation officielle de Google sur la sécurité des comptes et la gestion des clés d’accès reste un bon point de départ : support officiel Google Accounts. Pour comprendre le fonctionnement d’une passkey, la base FIDO est utile : présentation officielle des passkeys.
Si vous voulez comparer le principe avec les clés de sécurité physiques, la page Microsoft sur la connexion sans mot de passe est également claire : support Microsoft sur la connexion sans mot de passe.
Le bon réflexe pour un particulier
Pour un usage personnel, la stratégie la plus solide reste simple. Gardez les passkeys synchronisées pour le confort, mais ne leur donnez pas tout. Les comptes bancaires, les boîtes mail principales et les identités administratives méritent une authentification plus robuste.
Si vous êtes déjà équipé d’une clé de sécurité, activez-la sur vos services les plus critiques. Sinon, commencez par sécuriser votre compte cloud, car c’est lui qui protège souvent vos passkeys synchronisées.
1 compte cloud compromis peut suffire à fragiliser plusieurs services. C’est ce lien qu’il faut casser en priorité.
Enfin, gardez en tête la règle pratique la plus utile : une passkey protège très bien contre le phishing classique, mais elle n’annule pas le risque d’un poste infecté. La vraie défense, c’est le trio système à jour, compte cloud verrouillé et clés matérielles pour les usages sensibles.
Si vous devez agir aujourd’hui, commencez par trois gestes : vérifiez vos appareils connectés, mettez à jour votre navigateur, puis basculez vos comptes les plus importants sur une méthode d’authentification qui ne dépend pas uniquement de la synchronisation cloud.
