Microsoft documente des attaques où des gangs liés à ShinyHunters et Helix se font passer pour le help desk afin d’amener des employés vers des sites de phishing passkey, puis exfiltrent les données Microsoft 365. La parade tient moins au passkey lui-même qu’à des méthodes d’authentification résistantes au phishing et à la révocation des sessions compromises.

Le 3 août 2026, Unit 42 (Palo Alto Networks) a publié trois attaques baptisées Pass-ta-key qui permettent à un malware sur une machine Windows compromise de détourner les passkeys synchronisées via Google Password Manager. La plus grave, Golden Pass-ta-key, extrait la clé maîtresse de chiffrement de la mémoire de Chrome et compromet toutes les passkeys présentes et futures du compte Google.