Un gruppo di ricercatori noto come Unit 42 ha infatti individuato alcune falle nel Password Manager di Google che, se sfruttate, permettono di aggirare proprio quei meccanismi di protezione che dovrebbero rendere le passkey inattaccabili. Il metodo, ribattezzato “Pass-ta-key“, ha già dimostrato di poter compromettere le passkey basate su Chrome. Il computer infetto viene mantenuto in una condizione di attesa, in cui il processo di verifica dell’identità non risulta mai realmente concluso. Il problema riguarda il processo di cifratura chiamato SDS, che finisce per lasciare tracce nel sistema di log di Chrome. L’SDS sottratto funziona infatti come una sorta di chiave universale, capace di aggirare la protezione di ogni nuova passkey creata successivamente.