Ataques al Administrador de Contraseñas de Google podrían permitir que el malware secuestre cuentas protegidas con Passkey
Análisis CyberFlows
Esta noticia importa porque resalta la vulnerabilidad de los sistemas de autenticación en la nube, incluso aquellos que utilizan tecnologías de vanguardia como passkey. Los ataques descritos, conocidos como Pass-ta-key, Silver Pass-ta-key y Golden Pass-ta-key, demuestran cómo el malware puede explotar debilidades en la implementación de la autenticación para acceder a cuentas sin autorización. Los profesionales de seguridad deben estar al tanto de estas amenazas y tomar medidas para fortalecer la seguridad de las cuentas en línea, especialmente aquellas que utilizan autenticación en la nube.
Acciones recomendadas: Revisar y actualizar los protocolos de autenticación en la nube para asegurarse de que están utilizando las mejores prácticas de seguridad | Implementar soluciones de detección de malware y monitoreo de actividad sospechosa en los sistemas | Educación a los usuarios sobre los riesgos de los ataques de phishing y malware, y cómo proteger sus cuentas en línea
Análisis editorial de CyberFlows. Las acciones recomendadas son orientación general; evalúa siempre tu contexto específico.
Resumen
Un malware que se ejecuta como un usuario normal en una máquina Windows puede iniciar sesión en cuentas protegidas con passkey sin necesidad de una huella dactilar, un PIN o cualquier otra forma de autenticación en la pantalla de la víctima. Unit 42 ha detallado tres caminos de ataque contra el autenticador en la nube del Administrador de Contraseñas de Google de Chrome. Estos ataques podrían tener un impacto significativo en la seguridad de las cuentas en línea.
Malware running as an ordinary user on a Windows machine can sign into a victim's passkey-protected accounts without a fingerprint, a PIN, or anything at all appearing on the victim's screen. Unit 42 detailed three attack paths against Chrome's Google Password Manager cloud authenticator, which it calls Pass-ta-key, Silver Pass-ta-key and Golden Pass-ta-key; the strongest targets the master key