Passkey Dibobol? 3 Serangan Ini Bisa Lewati MFA Anti-Phishing

Passkey selama ini dipandang sebagai salah satu solusi paling menjanjikan untuk menggantikan password sekaligus menghadang serangan phishing. Namun, tiga penelitian keamanan terbaru menunjukkan bahwa perlindungan tersebut masih dapat dilewati jika komponen di sekitar passkey memiliki kelemahan.

Tiga penelitian yang dilakukan SpecterOps, Unit 42, dan peneliti independen Dirk-jan Mollema menemukan metode berbeda untuk menyalahgunakan sistem autentikasi berbasis passkey. Menariknya, tidak satu pun penelitian tersebut berhasil memecahkan kriptografi yang menjadi fondasi passkey.

Sebaliknya, para peneliti mengeksploitasi kelemahan pada sistem operasi, browser, penyimpanan kredensial, hingga mekanisme autentikasi cloud. Temuan ini memperlihatkan bahwa keamanan passkey tidak hanya bergantung pada kekuatan algoritma kriptografi, tetapi juga pada bagaimana kredensial tersebut diproses dan dilindungi oleh perangkat serta layanan yang terhubung.

Dalam penelitian SpecterOps, misalnya, peneliti menemukan cara untuk memanfaatkan material autentikasi yang sebelumnya sudah ditandatangani dan tersimpan di Windows. Material tersebut kemudian dapat digunakan dalam rangkaian serangan terhadap Microsoft Entra ID untuk menyamar sebagai pengguna lain.

Sementara itu, Unit 42 menemukan kelemahan pada sistem passkey yang disinkronkan melalui Google Password Manager di Chrome. Dalam skenario tertentu, penyerang yang telah berhasil menjalankan malware di perangkat korban dapat memperoleh kunci privat passkey yang disinkronkan.

Penelitian ketiga datang dari Dirk-jan Mollema. Ia menunjukkan bahwa malware yang sudah berjalan dalam sesi Windows yang telah login dapat menggunakan kunci Windows Hello for Business tanpa meminta pengguna memasukkan PIN atau melakukan verifikasi biometrik kembali.

Ketiga temuan tersebut memiliki karakteristik berbeda. Namun, semuanya memperlihatkan persoalan yang sama: passkey memang dapat membuat serangan phishing menjadi jauh lebih sulit, tetapi belum tentu mampu menghentikan penyerang yang sudah memperoleh pijakan di perangkat korban.

SpecterOps Temukan Jejak Autentikasi yang Tertinggal di Windows

SpecterOps mengungkap penelitian yang disebut Pass-the-Passkey dalam ajang Black Hat USA 2026 pada 5 Agustus. Penelitian tersebut dipresentasikan oleh Michael Grafnetter, principal security researcher SpecterOps.

Menurut SpecterOps, Windows menyimpan signature atau tanda tangan autentikasi yang sebelumnya dibuat menggunakan YubiKey dalam bentuk yang dapat dibaca. Data tersebut dapat diakses oleh pengguna yang sudah terautentikasi meskipun tidak memiliki hak administrator.

Kondisi ini menjadi masalah karena signature yang tersimpan dapat menjadi bagian penting dalam rangkaian serangan terhadap Microsoft Entra ID.

SpecterOps menemukan bahwa signature tersebut dapat digabungkan dengan kelemahan dalam proses validasi passkey Entra. Dengan memanfaatkan kombinasi tersebut, penyerang dapat melakukan autentikasi dengan menyamar sebagai pengguna yang memiliki hak istimewa, bahkan ketika organisasi telah menerapkan MFA yang dirancang tahan terhadap phishing.

Kerentanan Windows tersebut kemudian diberi identitas CVE-2026-34348 dan dikategorikan sebagai kerentanan pengungkapan informasi pada Windows Event Logging Service. Microsoft memberikan skor CVSS 6,5 untuk kerentanan tersebut dan telah menyediakan pembaruan keamanan.

Produk yang masuk dalam cakupan CVE meliputi sejumlah versi Windows 10, Windows 11, dan Windows Server. Namun, cakupan produk dalam CVE tidak berarti seluruh rangkaian serangan SpecterOps bekerja secara identik pada setiap versi Windows.

Yang perlu digarisbawahi, penyerang tidak perlu mencuri kunci privat dari YubiKey. Mereka memanfaatkan signature yang sudah dibuat sebelumnya dan tersimpan di sistem.

Dengan demikian, temuan ini bukan berarti keamanan FIDO2 berhasil dipecahkan. Namun, jika material autentikasi yang sudah ditandatangani dapat digunakan kembali, dampaknya tetap serius karena penyerang berpotensi masuk sebagai pengguna yang sah.

SpecterOps mengatakan belum menemukan penggunaan teknik Pass-the-Passkey dalam serangan nyata. Perusahaan juga menyebut telah melakukan pengujian terhadap rangkaian kerentanan tersebut. Menurut SpecterOps, pembaruan Windows yang dirilis Microsoft pada Juli 2026 telah memutus bagian penting dari rantai serangan karena WebAuthn assertion yang tersimpan dalam event log tidak lagi dapat digunakan untuk replay.

Microsoft Entra Masih Jadi Perhatian

Di sisi lain, SpecterOps menyatakan belum mengamati perubahan berarti pada mekanisme tertentu di Microsoft Entra ID. Hingga 10 Agustus 2026, menurut peneliti, Entra masih menggunakan JSON Web Token atau JWT sebagai challenge WebAuthn. SpecterOps menilai pendekatan tersebut memiliki risiko karena challenge tidak tampak terikat secara kuat dengan cookie sesi.

Dalam mekanisme autentikasi, challenge seharusnya membantu memastikan bahwa suatu respons autentikasi memang dibuat untuk sesi dan permintaan tertentu. Jika challenge dapat digunakan kembali dalam konteks yang berbeda, serangan replay menjadi lebih mungkin terjadi.

SpecterOps menyebut penggunaan JWT sebagai challenge menjadi salah satu faktor yang membuat Entra berpotensi menghadapi serangan replay WebAuthn assertion.

Pelacakan signature counter dapat membantu mengurangi risiko tersebut. Namun, fitur ini tidak didukung oleh seluruh autentikator. Para peneliti juga mengatakan Windows tampaknya belum mendukung signature counter untuk WebAuthn assertion tertentu yang menggunakan kredensial Entra dan dilindungi Windows Hello for Business.

Dilansir dari The Hacker News, Microsoft mengatakan mereka telah menerapkan mitigasi terhadap masalah yang berkaitan dengan passkey relay assertions. Namun, perusahaan tidak memberikan rincian teknis mengenai cakupan mitigasi tersebut.

Microsoft juga merekomendasikan penerapan prinsip least privilege, penggunaan autentikasi tahan phishing, serta perlindungan endpoint dengan pendekatan Zero Trust.

Unit 42 Temukan Risiko pada Passkey yang Disinkronkan

Penelitian berikutnya dilakukan Unit 42 dan diberi nama Pass-ta-key. Fokusnya adalah sistem passkey yang disinkronkan melalui Google Password Manager pada Chrome di Windows. Berbeda dengan serangan SpecterOps, serangan Unit 42 membutuhkan kondisi ketika malware sudah berjalan di perangkat korban. Namun, penyerang tidak harus terlebih dahulu mendapatkan hak administrator.

Salah satu metode memanfaatkan mekanisme identitas perangkat Chrome sehingga penyerang dapat memperoleh signature yang diperlukan untuk bertindak seperti klien Google Password Manager yang sah.

Unit 42 bahkan mendemonstrasikan teknik tersebut terhadap eBay meskipun situs tersebut meminta verifikasi pengguna. Setelah menerima laporan penelitian, eBay mengubah mekanisme validasi terhadap flag WebAuthn user verification.

Temuan yang lebih serius disebut Golden Pass-ta-key. Serangan ini menargetkan Security Domain Secret, yaitu kunci master berukuran 32 byte yang digunakan untuk melindungi passkey yang disinkronkan. Unit 42 sebelumnya menemukan secret tersebut terekspos dalam proses logging perangkat Chrome. Google kemudian menghapusnya dari keluaran log setelah menerima laporan.

Namun, menurut peneliti, secret tersebut masih dapat muncul sementara di memori proses Chrome ketika proses pendaftaran ulang dilakukan.

Jika penyerang berhasil mendapatkan Security Domain Secret, mereka dapat menggunakannya untuk memulihkan kunci privat dari passkey korban yang telah disinkronkan.

Hal ini menjadi perhatian serius karena kunci privat merupakan bagian penting dari mekanisme autentikasi passkey. Jika kunci tersebut berhasil diperoleh, dampaknya dapat berlangsung lebih lama dibandingkan pencurian satu sesi login.

Unit 42 juga mengatakan implementasi Google saat ini tidak menyediakan mekanisme untuk melakukan rotasi atau pencabutan Security Domain Secret. Karena itu, kompromi terhadap secret tersebut berpotensi memberikan dampak yang lebih persisten.

Windows Hello Bisa Digunakan Tanpa PIN Baru

Penelitian ketiga berasal dari Dirk-jan Mollema dan berfokus pada Windows Hello for Business. Pada perangkat Windows modern, kunci yang digunakan Windows Hello for Business biasanya dilindungi oleh Trusted Platform Module atau TPM. Kunci tersebut dirancang agar tidak dapat diekspor begitu saja dari perangkat.

Namun, Mollema menemukan bahwa aplikasi atau proses yang sudah berjalan dalam sesi pengguna yang dikompromikan masih dapat meminta Windows menggunakan kunci tersebut.

Dalam penelitiannya, proses dengan hak akses rendah dapat memanggil antarmuka kriptografi Windows untuk menggunakan kunci Windows Hello for Business tanpa memicu permintaan PIN atau biometrik baru. Mollema kemudian menggunakan kunci tersebut sebagai kredensial FIDO2 untuk melakukan autentikasi terhadap Microsoft Entra ID.

Ia menemukan bahwa challenge WebAuthn dari Entra berlaku selama lima menit dan tidak terikat secara khusus dengan sesi, pengguna, atau tenant. Kondisi tersebut memungkinkan challenge yang dibuat di komputer penyerang dibawa ke perangkat korban. Di perangkat tersebut, challenge dapat ditandatangani menggunakan kunci Windows Hello dan kemudian dikembalikan sebagai WebAuthn assertion.

Hasil autentikasi tersebut bahkan dapat memenuhi aturan Conditional Access yang mensyaratkan autentikasi tahan phishing.

Mollema juga menemukan bahwa token yang dihasilkan dalam kondisi tertentu dapat tidak memiliki device ID claim. Hal ini berpotensi membuka jalur menuju proses pendaftaran perangkat, Primary Refresh Token, dan persistensi tambahan bagi penyerang.

Bukan Berarti Passkey Gagal

Meski terdengar mengkhawatirkan, ketiga penelitian tersebut tidak berarti passkey telah gagal atau kriptografi FIDO2 berhasil ditembus. Justru, temuan ini memperlihatkan perbedaan penting antara meretas algoritma autentikasi dan mengeksploitasi sistem yang mengelilinginya.

SpecterOps menunjukkan bagaimana signature autentikasi yang sudah dibuat dapat disalahgunakan kembali. Unit 42 memperlihatkan risiko pada penyimpanan dan sinkronisasi passkey. Sementara Mollema menunjukkan bahwa malware dalam sesi Windows yang sudah dikompromikan dapat memanfaatkan kunci autentikasi yang sah.

Dengan kata lain, passkey tetap mampu memberikan perlindungan kuat terhadap phishing konvensional. Namun, perlindungan tersebut tidak secara otomatis menyelesaikan masalah ketika perangkat korban sudah dikuasai malware atau sesi pengguna telah berhasil dikompromikan.

Karena itu, organisasi tidak cukup hanya mengaktifkan passkey. Mereka juga perlu memperbarui sistem operasi, memperkuat keamanan endpoint, membatasi hak akses, melindungi browser dan penyimpanan kredensial, serta memantau aktivitas autentikasi yang tidak biasa.

Administrator Microsoft Entra juga dapat memperhatikan autentikasi Windows Hello for Business yang tidak memiliki device identifier serta aktivitas pendaftaran perangkat yang mencurigakan.

Untuk pengguna Windows, pemasangan pembaruan keamanan yang menangani CVE-2026-34348 menjadi langkah penting. Sementara itu, layanan yang menerima WebAuthn assertion perlu memastikan persyaratan user verification benar-benar diterapkan sesuai kebijakan.

Microsoft Percepat Adopsi Passkey

Temuan ini muncul ketika Microsoft justru tengah memperluas penggunaan passkey di Entra ID. Mulai 1 September 2026, pengguna Entra ID yang masih menggunakan autentikasi melalui SMS atau panggilan suara akan secara otomatis diaktifkan untuk menggunakan passkey dan diarahkan untuk melakukan pendaftaran.

Microsoft juga menjadwalkan penghentian layanan pengiriman SMS dan suara pada 1 Februari 2027. Langkah tersebut menunjukkan bahwa passkey tetap menjadi bagian penting dari strategi Microsoft untuk mengurangi ketergantungan pada password dan metode autentikasi yang lebih rentan terhadap phishing.

Namun, penelitian SpecterOps, Unit 42, dan Mollema memberikan pengingat penting bahwa keamanan autentikasi merupakan sebuah rantai. Jika salah satu bagian, seperti sistem operasi, browser, penyimpanan kunci, mekanisme pemulihan, atau endpoint, memiliki kelemahan, perlindungan passkey dapat ikut terdampak.

Jadi, persoalannya bukan apakah passkey aman atau tidak. Passkey tetap menawarkan perlindungan yang kuat, tetapi efektivitasnya sangat bergantung pada keamanan seluruh ekosistem yang berada di belakangnya.