「Pass-ta-key」攻撃が明かすパスキーの実態
原題: New Pass-ta-key attack reveals all the things we didn't know about passkeys
なぜ重要か
パスキーの保存方式に関する誤解が解消され、企業や開発者がセキュリティポリシーを正しく設計する上で重要な基礎情報が共有された。
Palo Alto NetworksのセキュリティリサーチャーArie Olshtein氏は2026年8月、Windowsのマルウェア感染環境でGoogle Password Manager（GPM）に保存された全パスキーを取得できる「Pass-ta-key」攻撃を公開した。多くのユーザーや専門家はパスキーがTPMに保存されると信じており、今回の発表が混乱を招いた。Ars Technicaはこの攻撃がパスキー固有の新脆弱性ではないと指摘している。
「Pass-ta-key」という名称は「パスキー」と「pass the key（鍵を渡す）」を組み合わせたもので、パスタにも掛けている。Palo Alto NetworksのArie Olshtein氏が発表したこの攻撃は、マルウェアに感染したWindows端末においてGPMに保存されたパスキーを全件取得できるとするものだ。
多くの人々がパスキーはTPM（Trusted Platform Module）という専用ハードウェアの保護された領域に格納されると思い込んでいたため、この発表は驚きをもって受け取られた。しかし実態は異なる。FIDO Allianceが管理するFIDO 2仕様は、パスキーをTPMや専用ハードウェアに保存することを義務付けていない。
WindowsのTPM保存オプションを提供しているのはMicrosoftのみで、同社は主にコンシューマーではなく企業向けにこの選択肢を推奨している。macOS・iOS・Androidを含む他のほぼ全プラットフォームと多くのサードパーティアプリは、パスキーをデバイス上にローカル保存している。
この方針は数年前に変更された。OS開発者やサードパーティアプリ開発者が、パスキーを複数デバイスに簡単に同期できなければ普及しないと判断したためだ。TPMへの保存を必須にすると、新しいデバイスごとにパスキーを再作成しなければならず、同期が実質不可能になる。
FIDO仕様の設計者たちは、アプリのパーミッション制御が十分に細かいため、デバイス上に潜むマルウェアがパスキーの根幹をなす秘密鍵にアクセスするのは困難と判断し、ローカル保存を安全と結論付けた。macOS・iOS・AndroidではゼロデイエクスプロイトなどによってOS自体が侵害されない限り、マルウェアがこの隔離を突破することはできないとされている。
Ars Technicaは、Pass-ta-key攻撃はパスキー固有の新しい攻撃手法ではなく、マルウェアに感染したデバイス上でパスワードマネージャーのデータが盗まれる従来の脅威と本質的に同じと指摘している。