As passkeys protegeram o login. Não o ciclo de vida.

Uma passkey não pode ser alvo de phishing. Por isso, este verão, os atacantes deixaram de o tentar e atacaram tudo o que existe à volta dela.

Desde abril, um grupo que a Okta rastreia como O-UNC-066 tem chamado utilizadores do Microsoft 365, fazendo-se passar por TI, guiando-os por uma página falsa de inscrição de passkey. Fazem phishing da palavra-passe e do código MFA, iniciam sessão como a vítima e registam uma passkey própria no portal real da Microsoft. É genuína, resistente a phishing e pertence ao atacante. Tecnologia, saúde, aviação e mais.

A única coisa que sempre limitou isto foi a necessidade de ter uma pessoa convincente do outro lado da linha, uma chamada de cada vez. Isso acabou na semana passada. A SpaceXAI e a OpenAI lançaram ambas voz em tempo real que clona qualquer pessoa a partir de um clipe de dois minutos. Tire a chamada de resultados do CEO do YouTube e "uma chamada urgente de TI" passa a ser uma chamada urgente do CEO, com a voz dele, a marcar todas as extensões ao mesmo tempo.

As passkeys só protegeram sempre um momento: o login. Não dizem nada sobre os três momentos à volta dele — inscrever uma credencial, sincronizá-la, recuperá-la. A recuperação é a mais frágil, porque é nela que todos os produtos guardam um atalho: uma reposição por email, um código por SMS, uma pergunta de segurança, um serviço de suporte que cede sob pressão. Uma chamada telefónica que agora escala encontra esse atalho sempre.

Então, como é que se defende a recuperação contra uma chamada que é barata, infinita e soa a qualquer pessoa?

Elimine primeiro o atalho. Nenhuma reposição por email, nenhum código por SMS, nenhuma pergunta de segurança, nenhuma anulação em que um operador possa ser convencido. Se existir uma forma automatizada de voltar a entrar, um banco de chamadas em escala vai encontrá-la. A recuperação tem de exigir algo que quem chama simplesmente não consegue fazer phishing.

Depois, deixe de ter nas mãos as chaves que usaria para deixar alguém voltar a entrar. Se o fornecedor consegue reconstruir o cofre de um utilizador, também o consegue quem comprometer o fornecedor, e também uma intimação judicial. Divida o segredo de recuperação em duas partes: dê uma metade ao utilizador, guarde uma metade que sozinha é inútil e reconstrua a chave no próprio dispositivo do utilizador. Agora, uma violação de base de dados é um monte de ruído, e não há nada para entregar a um tribunal.

Por fim — e é aqui que os modelos de voz falham —, a verificação humana não pode ser uma pergunta. "Qual é o apelido de solteira da sua mãe" diz ao atacante exatamente o que ir procurar, e isso já esteve numa violação há anos. Por isso, não pergunte nada. Deixe que o utilizador decida antecipadamente como vai provar quem é, e guarde isso em segredo para todos, para que o operador diga apenas "prove-o" e quem chame tenha de saber já a resposta: uma frase que só ele escolheria, ou um objeto escolhido ao vivo a partir de uma fonte que ele indicou e que você nunca diz em voz alta. Uma voz clonada pode falsificar qualquer resposta que lhe seja dada. Não consegue produzir a resposta certa a uma pergunta que nunca foi feita.

Nada disto é gratuito. Sem anulação, um utilizador que perca ambos os dispositivos e o seu segredo fica bloqueado para sempre — a troca correta por um cofre que mais ninguém consegue abrir. E a prova é apenas tão privada quanto o utilizador a mantiver. Mas uma recuperação construída assim sobrevive exatamente ao ataque que está agora a ser automatizado contra todos os outros, porque não há atalho para fazer phishing, não há chave para roubar e não há pergunta para responder.

É assim que a recuperação tem de ser agora. E foi exatamente isso que fizemos.

Clavitor (@clavitorai) é o cofre de credenciais criado para agentes de IA, e contra eles. clavitor.ai

Fontes

Okta Threat Intelligence (@okta): "Vishing actors target Microsoft Entra passkey enrollment." A campanha O-UNC-066: os atacantes fazem phishing de uma palavra-passe e de um código MFA por telefone, iniciam sessão como a vítima e depois registam a sua própria passkey FIDO2 através do portal legítimo de informações de segurança do Entra da Microsoft. [1]

BleepingComputer (@BleepinComputer): "Entra passkey enrollment vishing targets Microsoft 365 users." [2]

SpaceXAI (@SpaceXAI): o lançamento do Voice Agent Builder e das Custom Voices, uma plataforma sem código para agentes de voz de IA em tempo real que clona uma voz a partir de um clipe de cerca de dois minutos. O modelo comparável da OpenAI é o GPT Realtime 1.5. [3]

(Verificar que os perfis estão ativos antes de publicar: @okta, @BleepinComputer, @SpaceXAI.)