O que a Unit 42 encontrou no Google Password Manager

A pesquisa se debruçou sobre o Google Password Manager usado pelo Google Chrome em máquinas Microsoft Windows equipadas com TPM, o componente de segurança presente na maioria dos computadores atuais. Segundo o relato, um malware com permissões de usuário comum consegue abusar do ambiente local para autenticar em contas protegidas por passkeys.

Vale separar bem as coisas: a criptografia das passkeys não foi quebrada. O que os pesquisadores exploraram foi o que acontece em volta dela — armazenamento local, reinscrição do dispositivo e a validação que os sites fazem durante o login.

Até a data citada no material, não havia CVE informado, lista de versões afetadas, confirmação de exploração em ataques reais nem status completo de correção.

Pass-ta-key, Silver e Golden: como cada caminho funciona

Os três caminhos batizados pela Unit 42 são Pass-ta-key, Silver Pass-ta-key e Golden Pass-ta-key. Todos partem do mesmo ponto de largada: o invasor já executa código no computador da vítima. Sem esse pré-requisito, nada acontece.

A partir daí, o malware faz reconhecimento local e consulta dados do perfil do Google Chrome. O relatório aponta registros sincronizados em uma base local do perfil do usuário, dentro de uma pasta do Google Chrome em %LocalAppData%. Com esses dados em mãos, o invasor identifica serviços e nomes de usuário associados às passkeys.

O impacto muda conforme o caminho. O ataque pode tentar obter uma afirmação válida de login, registrar uma chave controlada pelo invasor ou, no cenário mais grave, extrair o segredo de 32 bytes que descriptografa as chaves privadas das passkeys sincronizadas. Nos dois últimos casos, o acesso vira reutilizável a partir do ambiente do atacante, mesmo depois do comprometimento inicial.

Sinais de alerta que não podem passar batido

Como o ataque pode acontecer sem exibir nada na tela, a ausência de pop-up, PIN ou biometria não prova coisa alguma. O caminho é acompanhar os sinais indiretos:

• logins em contas corporativas a partir de dispositivos ou locais incomuns;
• novas passkeys, chaves ou métodos de autenticação adicionados sem solicitação do usuário;
• presença de malware ou ferramentas desconhecidas em estações Microsoft Windows;
• alterações inesperadas em perfis do Google Chrome ou na sincronização de credenciais;
• usuários relatando sessões abertas sem terem feito login recentemente.

Como reduzir o risco em endpoints e contas

A lição é direta: passkeys ajudam muito, mas não substituem a proteção do dispositivo. Se o Microsoft Windows foi comprometido, a conta acessada por ele também precisa ser tratada como comprometida.

• Mantenha Google Chrome e Microsoft Windows atualizados.
• Use proteção contra malware e monitore comportamento anormal em endpoints.
• Revise regularmente passkeys e métodos de login cadastrados nas contas críticas.
• Após detectar malware, encerre sessões ativas e revalide dispositivos confiáveis.
• Em empresas, registre e monitore eventos de autenticação em serviços sensíveis.

Para times de segurança, o ponto prático é incluir contas com passkeys no plano de resposta a incidentes. A investigação não pode terminar na remoção do malware: é preciso confirmar se credenciais sincronizadas ou métodos de autenticação foram abusados no caminho.

Checklist pratico

1. Verifique se há malware ou comportamento suspeito em máquinas Microsoft Windows que usam Google Chrome com sincronização ativa.
2. Audite contas críticas: sessões abertas, dispositivos confiáveis e passkeys adicionadas recentemente.
3. Depois de um incidente, remova acessos suspeitos, revalide métodos de login e monitore novas tentativas.

Perguntas frequentes

As passkeys deixaram de ser seguras?

Não. O relato não indica quebra da criptografia das passkeys. O risco descrito depende de malware já em execução no computador da vítima, explorando o ambiente em volta do login.

Todos os usuários do Google Password Manager foram afetados?

O material analisado limita a pesquisa ao Google Password Manager no Google Chrome em Microsoft Windows com TPM. Não foram informadas versões afetadas nem exploração ativa em larga escala.

O que fazer se meu computador teve malware?

Além de remover a ameaça, revise suas contas. Encerre sessões desconhecidas, verifique as passkeys cadastradas, remova dispositivos suspeitos e acompanhe os acessos seguintes.

Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io

Fontes:
https://thehackernews.com/2026/08/google-password-manager-attacks-could.html