Passkeys volés : 3 failles dans Google en 2026
En 2026, des failles dans Google permettent le vol de passkeys à cause de malwares sur Windows, compromettant ainsi la sécurité des utilisateurs.
Les passkeys de Google Password Manager ne sont pas “cassées” au sens cryptographique, mais une recherche publiée début août 2026 montre qu’un malware déjà présent sur Windows peut détourner la chaîne de confiance et provoquer un vol de compte. Le point clé est simple : si la machine est compromise, la protection des données repose alors autant sur l’ordinateur que sur la passkey elle-même.
Ce que l’attaque change vraiment
Les chercheurs ont décrit trois scénarios d’abus visant les passkeys synchronisés de Google. Le premier permet de générer une assertion valide sans que l’utilisateur voie un prompt biométrique ou PIN. Le second vise la réinscription d’un appareil. Le troisième va plus loin : il cherche à récupérer le secret de domaine de sécurité qui sert à chiffrer les passkeys synchronisés.
Le protocole passkey reste solide. Le problème se situe ailleurs, dans les mécanismes de synchronisation, de confiance appareil et de récupération. Autrement dit, la faille vise l’implémentation et le poste Windows infecté, pas WebAuthn ou FIDO2 eux-mêmes.
Le scénario le plus inquiétant est le plus discret. Un malware peut s’exécuter avec les droits d’un simple utilisateur. Il peut alors récupérer des éléments locaux de Chrome, exploiter la mémoire du navigateur ou détourner l’enrôlement d’un nouvel appareil. Résultat : la connexion se fait sans alerte visible de votre côté.
Pourquoi les passkeys synchronisés sont ciblés
Une passkey locale sur une clé matérielle ne se synchronise pas. Une passkey synchronisée, elle, circule entre appareils via un gestionnaire. C’est pratique. C’est aussi la surface d’attaque exploitée ici. Google indique que les passkeys synchronisés sont stockés et synchronisés de manière chiffrée de bout en bout, avec déchiffrement sur un environnement de confiance via un PIN Google Password Manager ou le verrouillage de l’appareil Android.
1 compromis suffit ici pour ouvrir la porte à d’autres. Une infection par infostealer, un cheval de Troie bancaire ou un malware de prise en main peut servir de point d’entrée. Le danger ne vient pas de la passkey en elle-même. Il vient du fait que l’attaquant prend la main avant la vérification utilisateur.
En clair, un lecteur peut avoir activé une authentification forte et rester vulnérable si son PC Windows est infecté. C’est un bon rappel : la cybersécurité des comptes passe aussi par l’hygiène du poste de travail.
Les protections à activer tout de suite
Je conseille de commencer par le plus robuste : une clé de sécurité matérielle. Une passkey liée à une clé physique ne repose pas sur la synchronisation cloud. Elle réduit fortement le risque lié à la compromission d’un navigateur. Si vous gérez des comptes sensibles, c’est la mesure la plus rentable.
Ensuite, vérifiez votre Google Password Manager et vos appareils connectés. Ouvrez votre compte Google, puis contrôlez la page des appareils ayant accès au compte. Déconnectez tout poste inconnu. Si un appareil vous semble louche, changez immédiatement le mot de passe Google et examinez l’historique de sécurité.
Pensez aussi au verrouillage local. Sur Windows, gardez un compte standard au quotidien, pas un compte administrateur. Activez Windows Hello si c’est pertinent. Mettez à jour Chrome, Windows et l’antivirus. Une machine non corrigée reste une cible facile pour les voleurs de sessions et d’identifiants.
La clé matérielle reste la meilleure parade contre ce type d’abus. Le poste sain reste la première barrière contre l’extraction locale. Et la revue des appareils limite les accès dormants après infection.
Les gestes de contrôle à faire côté compte
Commencez par vérifier si votre compte Google affiche des connexions ou appareils que vous ne reconnaissez pas. Puis changez le mot de passe principal. Ce geste ne répare pas un Windows compromis, mais il coupe une partie des accès persistants.
- Supprimez les appareils inconnus dans les paramètres de sécurité Google.
- Révoquez les sessions suspectes immédiatement.
- Ajoutez une méthode de secours fiable, comme une clé physique.
- Regénérez vos passkeys sur un appareil propre si une infection est avérée.
3 actions comptent le plus dans l’ordre : assainir la machine, couper les sessions, recréer les accès depuis un poste propre. Si vous sautez une étape, vous laissez une porte ouverte.
Les bons réflexes sur Windows
Sur le poste concerné, je regarde d’abord les signes classiques d’infection : processus inconnus, extension Chrome étrange, démarrage automatique suspect, trafic réseau anormal. Si l’un de ces signaux remonte, la priorité n’est pas de “tester” la passkey. La priorité est d’isoler la machine.
Déconnectez le PC d’Internet. Sauvegardez les fichiers indispensables. Puis lancez un contrôle complet avec un antivirus à jour. Si vous avez un doute sérieux, la remise à zéro reste souvent plus sûre qu’un nettoyage partiel. Pour un particulier, c’est parfois la seule façon de repartir proprement.
Pour les comptes critiques, évitez de tout laisser reposer sur un seul navigateur synchronisé. Gardez une méthode secondaire hors ligne. Une clé de sécurité physique, par exemple, apporte une vraie séparation. Elle ne dépend ni du profil Chrome, ni de la mémoire du navigateur.
Ce que je conseille aux particuliers et aux pros
Si vous êtes un utilisateur classique, gardez vos passkeys. Elles restent bien meilleures qu’un mot de passe seul. En revanche, ne confondez pas “plus sûr” et “invulnérable”. La bonne stratégie consiste à combiner plusieurs couches de défense.
Si vous travaillez à distance, que vous administrez des services ou que vous gérez des données sensibles, passez à une logique d’accès graduée. Compte principal protégé par clé physique, appareil propre, mises à jour rapides, et revue régulière des accès. C’est moins glamour qu’un slogan marketing, mais beaucoup plus solide.
Pour aller plus loin, la documentation officielle sur les environnements compatibles avec les passkeys Google rappelle comment Google gère la synchronisation et le déchiffrement sur les appareils de confiance. La page du blog de sécurité Google détaille aussi le fonctionnement général de la synchronisation sécurisée.
2026 marque un tournant utile pour la protection des données : les passkeys gardent leur intérêt, mais elles ne dispensent plus de surveiller le poste Windows, le navigateur et les appareils liés au compte. Si je devais résumer l’action à mener aujourd’hui, je dirais ceci : vérifiez vos appareils, ajoutez une clé matérielle, et traitez toute infection comme un incident d’accès complet.
