Le passkey eliminano l’uso delle password durante le procedure di autenticazione, resistono al phishing tradizionale e impediscono il riutilizzo delle credenziali sottratte da altri servizi (la cosiddetta tecnica credential stuffing). Non rendono però invulnerabile il dispositivo sul quale operano. Una ricerca di Unit 42, il gruppo di analisi delle minacce di Palo Alto Networks, mostra come un malware già presente su Windows possa sfruttare alcuni meccanismi di Google Password Manager e Chrome per autenticarsi sugli account della vittima, sostituire una chiave di verifica o persino recuperare il segreto crittografico che protegge le passkey sincronizzate.
Introdotte pubblicamente nel 2022 sulla base degli standard FIDO2 e WebAuthn, le passkey hanno raggiunto circa 5 miliardi di credenziali attive secondo il rapporto FIDO Alliance pubblicato a maggio 2026. L’organizzazione stima inoltre che il 90% dei consumatori conosca la tecnologia e che il 75% l’abbia già abilitata su almeno un account.
La crescita si spiega facilmente: una passkey non contiene un segreto che l’utente possa digitare per errore in un sito falso e non può essere indovinata con attacchi brute force o a dizionario.
Come funzionano le passkey sincronizzate di Google
