Le passkey restano una delle difese più utili contro il phishing, ma non rendono invulnerabile un account se il dispositivo è già compromesso. La ricerca pubblicata da Unit 42 il 3 agosto 2026 riporta tre percorsi d’attacco contro passkey sincronizzate in Chrome su Windows, legati a malware già presente sul computer. La lezione pratica è semplice: usare le passkey ha senso, ma sicurezza del dispositivo, aggiornamenti e controllo degli accessi contano ancora moltissimo.
Perché se ne parla adesso
Il tema è caldo perché le passkey sono ormai proposte da banche, social, servizi email, piattaforme cloud e negozi online come alternativa alle password. Per molti utenti il messaggio è passato così: niente password, meno rischio. È vero contro molte truffe classiche, ma la ricerca di Palo Alto Networks Unit 42 sposta l’attenzione su un caso diverso, quello del computer già infettato.
Secondo Unit 42, gli attacchi analizzati riguardano Google Password Manager in Chrome su Windows con passkey sincronizzate. Non è una prova che tutte le passkey siano deboli, né che basti visitare un sito qualsiasi per perdere l’account. Il punto è più sottile: quando un malware è già dentro al dispositivo, può provare ad abusare dei meccanismi locali usati dal browser e dal gestore password.
Il dettaglio da capire prima di fidarsi ciecamente
Le passkey sono progettate per legare l’accesso al sito corretto e al dispositivo dell’utente. Questo le rende molto più resistenti alle pagine finte che imitano un servizio reale. Google spiega nelle proprie guide che l’utente sblocca il dispositivo con impronta, volto, PIN o sequenza, mentre il sito riceve una prova crittografica e non una password da rubare.
Il problema nasce quando non si parla più di phishing, ma di endpoint compromesso. Unit 42 descrive scenari in cui malware sul computer della vittima può tentare di usare dati e chiavi locali, forzare passaggi di ri-registrazione o intercettare materiale temporaneamente disponibile in memoria. In alcuni casi, la riuscita dipende anche da come il servizio che riceve il login controlla il segnale di verifica dell’utente.
Cosa controllare davvero
La prima cosa da fare non è abbandonare le passkey. È trattarle come una parte della sicurezza, non come tutta la sicurezza. Se usi Chrome, un password manager sincronizzato e passkey su più dispositivi, tieni aggiornati browser, sistema operativo e antivirus. Evita estensioni inutili, software pirata, installer scaricati da siti casuali e utility che chiedono permessi senza motivo chiaro.
Il secondo controllo è dentro agli account importanti. Nelle impostazioni di sicurezza verifica dispositivi collegati, passkey registrate, sessioni attive e metodi di recupero. Se trovi un computer che non usi più, una chiave creata in una data sospetta o una sessione che non riconosci, revocala e cambia le credenziali partendo da un dispositivo pulito.
Il terzo controllo riguarda gli account più sensibili. Per email principale, home banking, lavoro, cloud documenti e identità digitale, valuta una chiave di sicurezza fisica o una passkey non sincronizzata quando il servizio lo consente. Non è indispensabile per ogni profilo, ma riduce la dipendenza dal solo ecosistema sincronizzato.
Cosa evitare
Evita di interpretare la notizia come un invito a tornare alle password deboli. Le password riutilizzate, salvate in chiaro o digitate su siti falsi restano un rischio quotidiano. Evita anche l’eccesso opposto: non pensare che una passkey ti protegga se installi qualunque programma, ignori gli aggiornamenti o lasci accesso fisico libero al computer.
Occhio anche alle frasi assolute. “Impossibile da rubare” e “sicurezza totale” sono promesse che non aiutano il lettore. Una passkey riduce molto certi attacchi, ma non elimina il bisogno di proteggere il dispositivo da cui accedi.
La domanda che divide: sincronizzata o fisica?
Le passkey sincronizzate sono comode perché seguono l’utente da un dispositivo all’altro. È il motivo per cui stanno diventando popolari. La comodità, però, concentra fiducia nel gestore che le conserva e sincronizza.
Le chiavi fisiche e le credenziali legate a un solo dispositivo sono meno immediate, ma possono essere preferibili quando l’account vale molto. La scelta sensata non è uguale per tutti: per un forum va bene la comodità, per l’email che recupera tutti gli altri account conviene alzare il livello.
Risposte rapide
Devo eliminare le passkey?
No. Per la maggior parte degli utenti sono ancora meglio delle password tradizionali, soprattutto contro phishing e riuso delle credenziali.
Il rischio riguarda tutti?
La ricerca citata si concentra su Chrome su Windows, Google Password Manager e malware già presente sul dispositivo. Non dimostra che ogni passkey o ogni gestore password sia vulnerabile nello stesso modo.
Qual è il controllo più urgente?
Controlla dispositivi e accessi attivi negli account principali, aggiorna browser e sistema, rimuovi estensioni non necessarie e non installare software da fonti dubbie.
Fonti
Ultimo controllo: 4 agosto 2026, 10:25 Europe/Rome.
- Palo Alto Networks Unit 42, Pass the Passkey: A Novel Attack Surface in Passwordless Authentication
- The Hacker News, Google Password Manager Attacks Could Let Malware Hijack Passkey-Protected Accounts
- Google for Developers, Passkeys
- Google Account Help, Accedere con una passkey invece che con una password
- FIDO Alliance, Passkeys
