Tecnologia considerada uma das maiores evoluções da autenticação digital reduz drasticamente o phishing tradicional, mas ataques recentes mostram que proteger credenciais não é suficiente para impedir invasões.

A promessa de um futuro sem senhas está cada vez mais próxima. Empresas de tecnologia, instituições financeiras e organizações de diferentes setores vêm adotando as chamadas passkeys, um método de autenticação baseado em criptografia que elimina a necessidade de memorizar senhas e oferece maior resistência a ataques de phishing.

Mas uma questão começa a ganhar destaque entre especialistas em cibersegurança: se as passkeys são tão seguras, como os criminosos ainda conseguem comprometer contas protegidas por essa tecnologia?

Uma análise publicada pela empresa de segurança Huntress mostra que os atacantes estão adaptando suas estratégias. Em vez de tentar quebrar os mecanismos criptográficos das passkeys, eles exploram processos de recuperação de contas, métodos alternativos de autenticação, dispositivos comprometidos e técnicas de engenharia social.

O resultado é uma mudança importante na forma como as organizações precisam pensar a segurança de identidades digitais.

O fim das senhas não significa o fim dos ataques

Durante décadas, o roubo de senhas esteve entre os principais caminhos utilizados por cibercriminosos para obter acesso não autorizado a sistemas corporativos.

Campanhas de phishing, vazamentos de bases de dados, reutilização de credenciais e ataques automatizados tornaram a autenticação tradicional um dos pontos mais vulneráveis da segurança digital.

A autenticação multifator (MFA) trouxe uma camada adicional de proteção, mas também passou a ser alvo de técnicas como interceptação de códigos, fadiga de notificações e manipulação de usuários.

As passkeys representam uma evolução significativa desse modelo.

Baseadas em padrões como FIDO2 e WebAuthn, elas utilizam um par de chaves criptográficas. A chave privada permanece protegida no dispositivo ou no ambiente seguro responsável pelo armazenamento, enquanto a chave pública é registrada no serviço utilizado.

Durante a autenticação, o usuário comprova a posse da chave privada sem precisar transmiti-la ao servidor.

Além disso, o mecanismo é associado ao domínio legítimo do serviço, dificultando ataques tradicionais que utilizam páginas falsas para capturar credenciais.

O problema é que uma autenticação criptograficamente segura não garante, por si só, que todas as operações realizadas em nome daquela identidade sejam legítimas.

Quando o próprio usuário autoriza o atacante

Um dos exemplos mais interessantes dessa nova geração de ataques envolve uma técnica conhecida como Device Code Phishing.

Esse mecanismo explora um recurso legítimo de autenticação utilizado por plataformas como a Microsoft.

O fluxo de autenticação por código de dispositivo foi desenvolvido para facilitar o login em equipamentos que não possuem uma interface convencional para inserir credenciais, como televisores inteligentes e determinados dispositivos corporativos.

O usuário recebe um código, acessa uma página oficial e autoriza a autenticação.

Os criminosos descobriram como utilizar esse mesmo processo para obter acesso indevido.

Em uma campanha identificada pela Huntress e denominada EvilTokens, atacantes utilizaram mensagens fraudulentas para convencer vítimas a inserir códigos de autenticação em páginas legítimas da Microsoft.

Segundo a empresa, a campanha atingiu 344 organizações em cinco países durante aproximadamente 16 dias.

O aspecto mais preocupante é que a vítima pode completar corretamente todos os procedimentos de autenticação, inclusive o MFA.

Ainda assim, ao autorizar o código apresentado pelo criminoso, acaba permitindo que o fluxo iniciado pelo atacante receba tokens válidos de acesso.

Nenhuma senha precisa ser roubada. A chave privada da passkey não precisa ser comprometida. O ataque explora a autorização concedida a uma operação iniciada por terceiros.

O caso demonstra que o problema não está necessariamente na tecnologia de autenticação, mas no contexto em que ela é utilizada.

A recuperação de contas pode se tornar o elo mais fraco

Outro ponto de atenção está nos processos de registro e recuperação de autenticadores.

Imagine uma organização que exige passkeys para todos os colaboradores, mas permite redefinir os métodos de autenticação por meio de um processo de suporte pouco rigoroso.

Um criminoso que consiga convencer a equipe de atendimento a redefinir o MFA de um funcionário pode abrir caminho para registrar um novo autenticador sob seu controle.

Nesse cenário, a passkey original continua protegida.

O atacante simplesmente encontrou outro caminho para acessar a identidade.

Esse tipo de risco coloca em evidência uma questão frequentemente negligenciada nos projetos de autenticação: a segurança do processo de recuperação precisa ser compatível com a segurança do mecanismo utilizado no login.

Não adianta implementar autenticação resistente a phishing se a recuperação da conta depende exclusivamente de informações pessoais facilmente obtidas ou de procedimentos vulneráveis à engenharia social.

Dispositivos comprometidos continuam sendo uma ameaça

As passkeys também não eliminam os riscos associados a computadores e dispositivos móveis comprometidos.

Um malware instalado no equipamento do usuário pode tentar explorar sessões autenticadas, manipular interações com o navegador ou executar operações utilizando o contexto de uma sessão legítima.

Pesquisas de segurança já demonstraram técnicas capazes de interferir em interações WebAuthn no ambiente Windows, desde que determinadas condições de comprometimento local estejam presentes.

Isso não significa que a criptografia das passkeys tenha sido quebrada.

Significa que o dispositivo responsável por executar a autenticação também faz parte da superfície de ataque.

Por essa razão, tecnologias de proteção de endpoints, como EDR, continuam essenciais mesmo em organizações que adotaram autenticação sem senha.

A segurança da identidade depende também da integridade do ambiente utilizado para acessá-la.

O perigo dos caminhos alternativos

Uma organização pode investir significativamente na implementação de passkeys e, ainda assim, manter métodos alternativos de autenticação menos seguros.

Senhas tradicionais, códigos enviados por SMS, procedimentos de recuperação inadequados e determinados fluxos legados podem continuar disponíveis.

Para os atacantes, isso representa uma oportunidade.

Em vez de enfrentar o mecanismo mais seguro, eles procuram a alternativa que ofereça menor resistência.

É um problema particularmente relevante em ambientes corporativos complexos, nos quais aplicações modernas convivem com sistemas legados, múltiplos provedores de identidade e diferentes políticas de autenticação.

A adoção de passkeys precisa, portanto, ser acompanhada de uma revisão dos demais mecanismos disponíveis.

Caso contrário, a organização corre o risco de implementar uma tecnologia avançada sem eliminar os caminhos que permitem contorná-la.

O papel da engenharia social na nova geração de ataques

A engenharia social permanece como um dos componentes centrais dessas campanhas.

Em vez de solicitar diretamente uma senha, o criminoso pode se apresentar como integrante da equipe de TI e informar que o colaborador precisa atualizar sua passkey, confirmar uma nova política de segurança ou concluir uma alteração no método de autenticação.

A mensagem pode direcionar a vítima para um procedimento aparentemente legítimo, mas que beneficia o atacante.

A popularização da inteligência artificial generativa também facilita a produção de mensagens personalizadas, adaptadas ao cargo, ao idioma e ao contexto profissional das vítimas.

No caso da campanha EvilTokens, a Huntress descreve o uso de mensagens produzidas com auxílio de IA para tornar as abordagens mais convincentes.

A consequência é que a conscientização dos usuários precisa acompanhar a evolução dos ataques.

Já não basta ensinar os colaboradores a desconfiar de páginas falsas que solicitam senhas. É necessário explicar os riscos associados à autorização de dispositivos desconhecidos, ao registro inesperado de autenticadores e às solicitações suspeitas de alteração de métodos de login.

Identity Security: a proteção precisa continuar depois do login

A evolução dessas ameaças reforça uma transformação importante no mercado de Identity and Access Management (IAM).

Historicamente, grande parte das iniciativas de segurança de identidade concentrou esforços em autenticação, provisionamento de acessos e controle de privilégios.

Essas capacidades continuam fundamentais, mas não são suficientes para responder a todas as formas modernas de comprometimento.

Uma autenticação bem-sucedida não significa necessariamente que a atividade posterior seja legítima.

Um usuário pode realizar login utilizando um método seguro e, minutos depois, apresentar comportamentos incompatíveis com seu histórico.

Da mesma forma, uma conta pode registrar novos autenticadores, conceder permissões a aplicações OAuth, iniciar sessões em ambientes incomuns ou acessar grandes volumes de informações sensíveis.

Esses eventos precisam ser analisados de forma correlacionada.

É nesse cenário que ganha relevância o conceito de Identity Threat Detection and Response (ITDR).

O ITDR amplia a visibilidade sobre ameaças relacionadas às identidades, permitindo identificar atividades suspeitas que não seriam necessariamente detectadas por controles tradicionais de autenticação.

Entre os sinais relevantes estão mudanças inesperadas nos métodos de autenticação, sessões anômalas, concessões suspeitas de permissões e comportamentos incompatíveis com o perfil habitual de acesso.

A resposta pode envolver a revogação de sessões, a remoção de autenticadores não autorizados, a investigação de persistência e o bloqueio de atividades potencialmente maliciosas.

O objetivo não é substituir IAM, MFA ou passkeys, mas complementar essas tecnologias com mecanismos de detecção e resposta.

Zero Trust e autenticação contínua

A discussão também está diretamente relacionada aos princípios de Zero Trust.

Nesse modelo, a confiança não deve ser concedida de maneira permanente apenas porque uma identidade foi autenticada com sucesso.

O acesso precisa considerar fatores como contexto, dispositivo, nível de privilégio, sensibilidade do recurso e sinais de risco.

A autenticação inicial continua sendo uma etapa importante, mas não deve representar o fim das verificações de segurança.

Uma sessão que começa em condições legítimas pode se tornar arriscada posteriormente, especialmente diante de comprometimento do dispositivo, uso indevido de tokens ou alterações suspeitas no comportamento.

Tecnologias de avaliação contínua de acesso, monitoramento de sessões e análise de risco de identidade ajudam a reduzir essa exposição.

A combinação entre autenticação resistente a phishing, governança de identidades, segurança de endpoints e detecção de ameaças oferece uma abordagem mais abrangente.

O que as empresas precisam fazer?

A principal conclusão não é que as passkeys sejam inseguras.

Pelo contrário, elas representam uma das melhorias mais relevantes na autenticação digital dos últimos anos.

A questão é que sua implementação deve fazer parte de uma estratégia mais ampla.

Organizações que estão adotando passkeys precisam revisar especialmente cinco aspectos:

1. Registro e recuperação de autenticadores: estabelecer mecanismos rigorosos de verificação de identidade antes de permitir a inclusão, substituição ou recuperação de credenciais.

2. Métodos alternativos de autenticação: identificar fluxos legados e opções de login que possam enfraquecer as políticas de autenticação resistente a phishing.

3. Segurança dos dispositivos: garantir que os equipamentos utilizados para acessar recursos corporativos estejam protegidos, atualizados e monitorados.

4. Monitoramento de identidades e sessões: correlacionar eventos de autenticação, alterações de credenciais, permissões e atividades suspeitas.

5. Conscientização e resposta a incidentes: preparar colaboradores e equipes de segurança para reconhecer ataques que exploram fluxos legítimos de autenticação.

Essas medidas ajudam a evitar que uma tecnologia segura seja comprometida por processos vulneráveis ao seu redor.

O futuro da autenticação exige uma visão mais ampla de identidade

A adoção de passkeys deve continuar avançando, impulsionada pela necessidade de reduzir a dependência de senhas e melhorar a experiência dos usuários.

Entretanto, os ataques recentes mostram que os criminosos também estão evoluindo.

Quando uma técnica deixa de funcionar, novas estratégias surgem para explorar processos, integrações e comportamentos que permanecem vulneráveis.

Para as organizações, isso representa uma mudança de perspectiva.

A pergunta deixa de ser apenas se o usuário conseguiu comprovar sua identidade e passa a incluir se aquela sessão, aquele dispositivo e aquelas operações continuam sendo confiáveis.

Em um ambiente digital cada vez mais conectado, no qual identidades humanas, aplicações, dispositivos e agentes de inteligência artificial interagem continuamente, a proteção não pode depender de um único momento de autenticação.

As passkeys ajudam a proteger a entrada. A segurança de identidade precisa proteger toda a jornada.

Fonte e referência: Huntress — Passkeys Raise the Bar. Here’s Where Attackers Can Still Get In.

OWLK Cyber Ecosystem | Cibersegurança, Inteligência Artificial, Identidade Digital e Tecnologia.