Googleパスワードマネージャーに脆弱性、パスキー保護を突破する攻撃手法が判明

米国のセキュリティ企業が、Googleパスワードマネージャーにおける実装上の弱点を指摘しました。マルウェアに感染したWindows PCなどを通じて、本来は安全とされるパスキー認証を突破される恐れがあるといいます。利便性と安全性のバランスが問われる事態となっています。

何が起きたのか

パロアルトネットワークスの研究チーム「Unit 42」が8月3日に発表した内容によると、Googleパスワードマネージャーの同期パスキーに脆弱性が見つかりました。「Pass-ta-key」と呼ばれるこの攻撃手法は3種類あり、一部では実際に成功した例もあると報じられています。特にWindows端末がマルウェアに感染していた場合、ユーザーが操作しなくても認証を突破されたり、保存されている秘密鍵をまとめて奪われたりするリスクがあるとのことです。

なぜ注目されているのか

もともとパスキーは、従来のパスワードに代わる次世代の認証方式として普及が進んできました。フィッシング詐欺などの被害を防ぐため、公開鍵暗号方式を用いて「鍵」をデバイスに保存する仕組みです。これまで、パスワードのように盗み見られる心配がないことが大きな利点とされてきました。しかし、利便性を高めるためにクラウドで鍵を同期する仕組みが導入されたことで、その実装部分に不備があれば、今回のように一括して鍵が盗まれるといった新たなリスクが生じることになります。

報道を読み比べると

PC WatchやITmedia NEWSは、マルウェアによる乗っ取りの危険性や攻撃手法の多様性に焦点を当てて伝えています。一方、GIGAZINEやはてなブックマークでは、同期パスキーの実装上の弱点であることや、秘密鍵がまとめて盗まれる具体的なリスクについて詳しく触れています。どの媒体もパロアルトネットワークスの報告に基づいた内容ですが、強固なはずのパスキーという壁が突破される点に警鐘を鳴らす構成となっています。

この記事は、各社が公開している見出しと配信情報をAIが読み取り、要点・背景・論点を整理して自動生成したものです。速報性を優先しているため、内容に誤りや古い情報が含まれる場合があります。正確な情報は必ず上記の出典元をご確認ください。医療・投資・法律に関わる判断は専門家にご相談ください。