Passkeys gelten vielen Sicherheitsexperten als ein Fortschritt gegenüber traditionellen Passwörtern. Sie basieren auf kryptografischen Schlüsselpaaren und sind deutlich resistenter gegen Phishing-Angriffe. Allerdings zeigt eine neue Entdeckung, dass auch diese moderne Authentifizierungsmethode von ausgefeilten Angreifern kompromittiert werden kann.
Im Dark Web wird derzeit ein Phishing-Toolkit gehandelt, das speziell darauf ausgelegt ist, Passkey-Systeme zu attackieren. Das Toolkit wird zu Preisen ab 10.000 US-Dollar angeboten. Es bietet Angreifern umfangreiche Funktionen zur Durchführung von Phishing-Angriffen, die es ihnen ermöglichen, Zugang zu Konten zu erlangen, die durch Passkeys geschützt sind.
Besonders bemerkenswert ist die Fähigkeit des Toolkits, Passwort-Zurücksetzen-Mechanismen zu umgehen. Dies ist ein kritischer Aspekt, da viele Nutzer, wenn sie ihr Gerät verlieren oder einen Account wiederherstellen wollen, die Passwort-Zurücksetzen-Funktion nutzen. Ein Toolkit, das dies umgeht, könnten Angreifern dauerhaften Zugriff auf gekapperte Google-Konten verschaffen.
Die technischen Details des Toolkits sind komplex. Es basiert vermutlich auf mehreren Angriffsvektor, darunter ausgefeiltem Social Engineering, um Nutzer dazu zu bringen, ihre Geräte oder Authentifizierungsinformationen an Angreifer zu übergeben. Das Toolkit könnte auch Sicherheitslücken in der Implementierung von Passkeys bei verschiedenen Diensten ausnutzen.
Für Unternehmen und Schweizer IT-Dienstleister ist dies ein wichtiges Warnsignal. Während Passkeys grundsätzlich sicherer sind als Passwörter, sind sie nicht omnipotent. Organisationen sollten bei der Implementierung von Passkeys auch andere Sicherheitsmassnahmen in Betracht ziehen, wie Multi-Faktor-Authentifizierung, risikoadaptive Authentifizierung oder anomalie-basierte Erkennung von verdächtigem Kontoaktivität. Nutzer sollten trainiert werden, keine unbekannten Login-Anfragen zu akzeptieren und ihre Geräte sicher zu konfigurieren.