Google Password Manager、同期パスキーを乗っ取る新たな攻撃手法が発覚

セキュリティ研究者が、マルウェアがGoogle同期パスキーを乗っ取り、侵害されたWindows端末からオンラインアカウントを奪取できる3つの新たな攻撃手法を発見しました。

これらの手法は、Chrome上のGoogle Password Managerを標的とし、デバイス信頼、ユーザー確認、再登録、認証情報のリカバリー、パスキー同期に存在する弱点を悪用します。 

手法によっては、攻撃者は検証プロセスを回避したり、別のシステムから認証を行ったり、同期された認証情報を保護している秘密鍵を復元したりすることが可能になります。

Unit 42は、実際の悪用が観測されたとは報告していません。また、公開されている研究では影響を受けるChromeのバージョンは特定されておらず、すべての攻撃経路が完全に対処されたかどうかも確認されていません。

パスキーのセキュリティ管理機能を狙う3つの攻撃

Palo Alto NetworksのUnit 42は、これらの手法をPass-ta-key、Silver Pass-ta-key、Golden Pass-ta-keyと名付けました。それぞれがGoogle Password Managerのパスワードレス認証システムの異なる部分、すなわちデバイスID、ユーザー確認、リカバリー、認証情報の同期を標的としています。

基本となるPass-ta-key手法では、権限を持たないマルウェアであっても、ChromeのTPMに紐づくデバイスID鍵を利用して、Googleのクラウド認証システムから有効な認証アサーションを要求できてしまいます。この要求は、管理者権限や生体認証、PIN、目に見えるユーザー操作を必要とせずに実行可能です。

この手法は、Webサイトがユーザー確認を要求し、User Verifiedフラグを正しく検証している場合には失敗します。Unit 42はeBayに対してこの攻撃のテストに成功しましたが、これはeBayが当該フラグを適切に検証していなかったためだとBleepingComputerは報じています。eBayは研究者からの開示を受けてこの問題を修正しました。

Silver Pass-ta-keyは、デバイスの再登録を標的とします。Googleのクラウド認証システムは、新しい鍵が信頼されたハードウェアから発行されたものであることを確認しないため、マルウェアはChromeに端末を再登録させ、攻撃者が管理する検証鍵を登録させることが可能です。

その結果、Googleは攻撃者の鍵による署名を、被害者がPINまたは生体認証を完了した証拠として受け入れてしまう可能性があります。これにより攻撃者は、元の端末へのアクセスを維持し続けなくても、別のシステムから認証を行えるようになります。

Golden Pass-ta-keyは暗号鍵を露出させる

最も深刻な手法は、Google Password Manager経由で同期されるパスキーの暗号化に使われるSecurity Domain Secret(セキュリティドメインシークレット)を標的としています。

Unit 42は当初、このシークレットがChromeの内部FIDOログに露出していることを発見しました。開示を受けてGoogleはログからこれを削除しましたが、研究者らによれば、このシークレットは依然としてChromeに送信され、ブラウザのプロセスメモリ内に一時的にアクセス可能な状態で残っているといいます。

マルウェアはデバイスの再登録を強制し、メモリ内でこのシークレットを特定して、被害者の同期パスキー情報を復号するために利用できる可能性があります。The Hacker Newsの報道によれば、その後攻撃者は秘密鍵を抽出し、別のシステムへ移して被害者になりすますことが可能になるといいます。

さらにUnit 42は、この同一のシークレットが既存および将来のすべての同期パスキーを保護していると警告しています。報告によれば、Googleの実装ではこのシークレットをローテーションまたは無効化する手段が用意されておらず、侵害が発生した場合、今後発行される認証情報も露出したままになる可能性があるとのことです。

セキュリティチームが取るべき対応

組織は、Pass-ta-keyを侵害後に発生する脅威として扱うべきです。ここで説明したすべての手法は、Windowsのエンドポイント上で既にマルウェアが実行されていることを前提としているため、エンドポイント保護、マルウェア検知、インシデント対応が最初の防御線となります。

パスキーに対応するWebサイトは、ユーザー確認を必須とし、すべての認証応答においてUser Verifiedフラグを正しく検証する必要があります。また、認証情報プロバイダーは、新たに登録されたデバイス鍵を検証し、再登録・リカバリーのプロセスを強化するとともに、暗号化用のシークレットがブラウザのメモリ上でアクセス可能な状態にならないようにする必要があります。

セキュリティチームは、予期しないGoogle Password Managerのリカバリー通知、説明のつかないデバイスの再登録、見覚えのないシステムからのパスキーログインを調査すべきです。

パスキーは、依然としてパスワードよりもフィッシングや認証情報の再利用に対する耐性が高い方式です。しかし今回の研究は、パスワードレス認証であっても、その安全性がエンドポイント、ブラウザ、クラウド認証システム、そして認証情報を取り巻く同期プロセスのセキュリティに依存していることを示しています。

組織全体で認証情報をより安全に管理する方法をお探しですか?2026年に注目すべき企業向けパスワードマネージャー6選をご覧ください。

Kezia Jungco

Kezia Jungcoは、人工知能、データ分析、CRMソフトウェア、クラウドインフラ、サイバーセキュリティ、そして新興のビジネステクノロジーを専門とするテクノロジーライター兼リサーチャーです。ソフトウェアプラットフォームやテクノロジーソリューションの評価において5年以上の経験を持ち、ビジネスリーダーが今後の働き方を形づくるツールやトレンドを理解する手助けをしています。
Keziaは、生成AIプラットフォーム、チャットボット、自然言語処理(NLP)ツール、CRMシステム、business software(ビジネスソフトウェア)の実践的なテストと分析において豊富な経験を持っています。彼女の仕事は、複雑なテクノロジーを実用的な洞察へと翻訳することに重点を置き、組織がテクノロジー導入、業務効率化、デジタルトランスフォーメーションについて的確な意思決定を下せるよう支援しています。
TechnologyAdviceのスタッフライターとして、KeziaはAIの技術革新、機械学習のビジネス応用、データ駆動型テクノロジー、クラウドコンピューティング、サイバーセキュリティ、セールステクノロジーを担当しています。ジャーナリズム、リサーチ、教育分野での経験を背景に持つ彼女は、厳密な分析と、企業・一般消費者双方に向けた分かりやすく明快なレポーティングを組み合わせています。
Keziaは、フィリピン大学ロスバニョス校で開発ジャーナリズムを専攻し、開発コミュニケーションの学位を取得しています。また、人工知能、データプライバシー、情報セキュリティに関する専門トレーニングも修了しています。彼女の記事は、TechnologyAdvice、TechRepublic、eWeek、Datamation、Selling Signalsなどに掲載され、急速に変化するテクノロジーの世界を読者が実践的かつ調査に基づいたガイダンスとともに理解できるよう手助けしています。