Un usuario ha documentado cómo un ataque de phishing sofisticado explotó la falta de resistencia al phishing de las passkeys en la cuenta de Gmail de Google. El incidente comenzó con un ticket de soporte falso que, tras fallar en la verificación de dos factores, presentó una interfaz de passkey de Apple dentro del navegador. Al ser un usuario de Bitwarden, el atacante detectó su identidad y continuó con una pantalla de login que imitaba la extensión de la herramienta de gestión de contraseñas. El objetivo final fue registrar una passkey en la cuenta del usuario, lo que le permitió acceder al sistema sin necesidad de la verificación de dos factores posterior. El atacante accedió a los documentos financieros y de criptomonedas del usuario, aunque no se evidenció un robo de fondos inmediato. La experiencia destaca el riesgo de que las passkeys, diseñadas para ser resistentes al phishing, se conviertan en una puerta trasera si un atacante logra registrarlas. El usuario señala que la notificación de Google sobre la nueva passkey fue crucial para detectar la intrusión, ya que de no haberla recibido, podría haber asumido erróneamente que su cuenta estaba segura. Este caso añade una capa de complejidad a la seguridad de las passkeys, sugiriendo que su implementación actual ofrece una vía de escape para los atacantes que buscan evitar la autenticación tradicional.
Noticias agregadas con IA