Passkeys são resistentes a phishing, mas o processo ao redor delas também pode ser atacado

30/10/2026 mindsecblog Artigos, Notícias 0

Passkeys são uma evolução real na autenticação. Elas eliminam boa parte do problema criado por segredos que o usuário precisa digitar e tornam muito mais difícil reutilizar uma credencial em uma página falsa. Só que uma conta não é apenas o momento do login. Recuperação, novos dispositivos, sessões, help desk e métodos alternativos continuam existindo — e é para lá que o ataque tende a migrar.

É importante separar duas conversas. A primeira: passkeys são resistentes a phishing? Em seu desenho baseado em FIDO2/WebAuthn, sim, esse é justamente um dos ganhos centrais. A segunda: uma conta que usa passkey não pode mais ser tomada por engenharia social? Não. O ecossistema ao redor da autenticação ainda pode ser explorado.

O que a passkey resolve muito bem

Senhas e códigos OTP podem ser digitados em um site falso e reutilizados no site real. Esse é o coração de muitos ataques adversary-in-the-middle e de phishing tradicional.

WebAuthn funciona de outra forma. A resposta criptográfica é vinculada ao serviço legítimo. Uma página falsa não consegue simplesmente coletar a credencial e reproduzi-la em outro domínio.

Isso remove uma classe inteira de ataques que por anos explorou o fato de o usuário carregar um segredo reutilizável.

Então por que ainda há campanhas usando “passkey” como isca?

Porque o atacante não precisa quebrar a passkey se conseguir convencer o usuário a entrar por outro caminho.

Em setembro de 2026, a Microsoft descreveu campanha de engenharia social com temática de passkeys. O ponto importante é esse: a passkey em si não foi comprometida. A narrativa levou usuários para outros fluxos de identidade capazes de entregar acesso.

Esse comportamento é esperado. Quando o método principal fica forte, o invasor procura recuperação, fallback, help desk, device code, OAuth ou uma sessão já autenticada.

Notícias Relacionadas

A recuperação pode ser mais fraca que o login

Esse é um dos pontos mais fáceis de ignorar. Uma empresa pode investir em autenticação resistente a phishing e manter um processo de recuperação baseado em perguntas frágeis, validação manual ou OTP por SMS.

Nesse caso, o atacante não enfrenta o controle mais forte. Ele escolhe o caminho mais fácil.

O mesmo vale para cadastro de novo dispositivo. Se adicionar um autenticador requer uma verificação mais fraca do que usar o autenticador existente, a segurança final da conta será definida pelo processo de enrollment.

Quanto mais forte o login, maior a pressão sobre processos humanos. Usuários perdem dispositivos, trocam de telefone, mudam de equipe e precisam recuperar acesso. O help desk entra no caminho crítico.

Ataques de vishing exploram justamente isso: convencer o suporte de que o atacante é o usuário legítimo. Se o procedimento de recuperação depende de conhecimento facilmente obtido ou de uma validação informal, a passkey pode estar protegendo muito bem uma porta enquanto outra permanece aberta.

Outro ponto importante: passkeys protegem o processo de autenticação. Elas não tornam um token de sessão já emitido imune a roubo.

Se um infostealer extrai um cookie autenticado ou um atacante sequestra uma sessão ativa, o método usado no próximo login pode nem entrar na equação. É por isso que proteção de endpoint, navegador, tokens e revogação continuam importantes mesmo em ambientes passwordless.

O que preservar para que o ganho da passkey não seja perdido

Mapear todos os caminhos de autenticação. Login principal, recuperação, fallback, cadastro de dispositivo e acesso legado precisam estar no mesmo desenho.
Reduzir métodos mais fracos. Manter SMS ou OTP para todos pode preservar exatamente o caminho de phishing que a passkey deveria reduzir.
Proteger recuperação e help desk. Verificação de identidade precisa ser proporcional ao risco da conta.
Monitorar novos autenticadores. Adição de passkeys, dispositivos ou métodos de MFA após um evento suspeito merece investigação.
Controlar Device Code e OAuth. Uma passkey não impede o usuário de autorizar outro fluxo iniciado pelo atacante.
Revogar sessões comprometidas. Trocar o método de autenticação não invalida necessariamente o que já foi emitido.

A adoção funciona melhor quando vem acompanhada de políticas de enrollment, gestão de dispositivos, recuperação e observabilidade. Se for tratada apenas como “novo botão de login”, parte do valor de segurança se perde.

Também é importante considerar experiência. Quando o fluxo legítimo é simples e previsível, fica mais fácil para o usuário perceber uma solicitação estranha. Processos confusos e cheios de exceções ajudam a engenharia social.

Nem todo usuário ou sistema estará pronto ao mesmo tempo. Contas de serviço, aplicações legadas e cenários de acessibilidade podem exigir caminhos alternativos. Esses caminhos não deveriam ser improvisados depois do rollout.

Uma implantação madura define desde o início quais exceções existirão, por quanto tempo e com quais controles compensatórios. Se o método forte convive indefinidamente com um fallback muito mais fraco, o atacante continuará escolhendo o fallback.

Conclusão

Passkeys elevam bastante a barra contra phishing. Isso precisa ser reconhecido sem transformar a tecnologia em promessa absoluta.

A autenticação é um sistema inteiro. O login pode ser resistente a phishing e a conta continuar vulnerável se recuperação, help desk, device code ou sessões forem frágeis.

O caminho mais maduro é usar a passkey para eliminar o problema da credencial reutilizável e, ao mesmo tempo, fortalecer o que fica em volta dela. É aí que o ganho realmente aparece.