導入
「パスキーは安全」という認識が揺らいでいます。Palo Alto Networksが2026年8月3日（現地時間）、Googleの同期パスキー実装を狙う3つの新たな攻撃手法を公表したからです。狙われたのは暗号技術そのものではなく、実装や復旧の仕組みです。
何が起きた？
研究では、マルウェアに侵害されたWindows端末上で通常ユーザー権限で動作する攻撃コードが、パスキーの登録や復旧、信頼確認の仕組みを悪用する3つの手法が示されました。
- Pass-ta-key：Chromeの正規動作になりすまして認証要求を送り、利用者の同意や生体認証を経ずにログインできる可能性があります。
- Silver Pass-ta-key：既存の利用者検証鍵を無効化し、攻撃者の鍵に置き換えることで、UVフラグ付きの認証を生成できるようになります。
- Golden Pass-ta-key：同期パスキーを暗号化するマスター鍵（SDS）をChromeのメモリから取得し、秘密鍵を復元します。
いずれも侵害済み端末が前提ですが、SDSは現行実装では失効・ローテーションする仕組みがなく、端末を再登録しただけでは被害を解消できない点が特徴です。
影響を受ける人・確認ポイント
Googleアカウントで同期パスキーを利用している人、特に業務でChromeを使う人は影響を受けます。確認すべきポイントは以下の通りです。
- サービス側が「userVerification」をrequiredに設定していても、UVフラグを厳格に検証しているか
- 端末がマルウェアに侵害されていないか（EDRでの検知）
- Chromeが最新の状態か
多要素認証を前提とした構成でも、端末識別鍵だけでアカウントを乗っ取られる恐れがあるため注意が必要です。
裏ワザ・回避策
利用企業や利用者は、EDRなどによるマルウェア対策を徹底し、Chromeを最新の状態に保つことが基本です。不審なソフトウェアの実行を防ぐ端末防御が重要です。
サービス事業者には、UVフラグの厳格な検証や、端末鍵の出どころ（アテステーション）の確認が求められます。また、SDSのような重要な暗号鍵をログやクライアントメモリへ露出させず、暗号処理を隔離環境内で完結させる設計が推奨されます。
まとめ
パスキーはパスワード由来の攻撃を大幅に減らす有効な認証方式です。ただし、端末が侵害されクラウドへ送られる「信頼できる端末」という信号が操作される場合、期待された安全性を完全には維持できません。パスキーは端末保護や厳格な認証検証と組み合わせた多層防御の一要素として運用することが大切です。
参考：パスキー万能説破れる？ Google同期パスキー実装に見つかった“想定外の穴”（＠IT 全フォーラム 最新記事一覧）