研究者たちは、Google Chromeのpasskeyをメモリに保存する方法にセキュリティの脆弱性があることを発見した。この方法は、悪意のあるソフトウェアがpasskey認証を偽装し、アカウントを乗っ取ることを可能にしている。最も深刻な方法は、ユーザーのGoogle passkeyウォレットを完全に危険にさらし、攻撃者にリモートアクセスを許してしまう。
研究者たちは、Chromeがメモリに十分なプレーンテキスト情報を保存しており、攻撃者がこの情報を利用してクラウド認証機能を操作できることを発見した。3つの方法のうち2つは、攻撃者が標的デバイス上のChromeにアクセスすることを必要とする。最も危険な方法は、Chrome内のファイルを削除することでクラウドに標的デバイスを再認証させ、攻撃者がすべてのpasskeyで保護されたアカウントにアクセスできるようにする。
これらの攻撃は、特権昇格を必要とせず、多要素認証もトリガーしない。Unit 42はこのセキュリティの脆弱性をGoogleに報告し、passkey認証機能の開発者に、異常なpasskey使用を調査し、初回登録時のセキュリティを強化し、ローカルに保存されたpasskeyファイルへのアクセスを制限することを勧告した。