Gestionnaire de mots de passe Google et passkeys : ce que changent les attaques Unit 42 (2026)

Unit 42 a divulgué trois attaques contre les passkeys synchronisées via le gestionnaire de mots de passe de Google, et la couverture médiatique a été assez brutale pour inquiéter quiconque a basculé ses comptes sur les passkeys parce qu'on les présentait comme l'option sûre. La plus spectaculaire des trois extrait toutes vos passkeys synchronisées d'un coup.

Avant de changer quoi que ce soit, il faut être précis sur ce qui a été cassé, parce que la réponse détermine si changer de gestionnaire vous aide. Ce n'est pas le cas, et cette page explique pourquoi.

Ce que montre réellement la recherche

Les trois attaques partagent un mécanisme. Sur une machine Windows déjà compromise, un malware extrait la clé d'identité puis utilise les API cryptographiques standard de Windows pour signer les requêtes d'authentification exactement comme le ferait Chrome. Rien n'est cassé. L'attaquant emprunte une relation de confiance que le PC avait déjà établie.

• Pass-ta-key prend le contrôle d'un compte protégé par une passkey synchronisée Google, sans élévation de privilège ni action de votre part.
• Silver Pass-ta-key trompe l'authentificateur cloud de Google en lui faisant croire que l'appareil a été déverrouillé par biométrie.
• Golden Pass-ta-key est la plus large : elle extrait toutes les passkeys synchronisées, sous une forme qui peut être partagée ou revendue.

Google a été notifié, et les faiblesses portent sur la façon dont Chrome et l'authentificateur cloud gèrent la confiance de l'appareil, l'enrôlement, la récupération et les identifiants synchronisés. Ces correctifs arrivent par des mises à jour qu'il faut réellement installer.

Ce que la plupart des articles passent sous silence : un autre gestionnaire aide-t-il ?

C'est la question à laquelle ce site sert à répondre, et la réponse honnête est inconfortable : déplacer vos passkeys vers un autre gestionnaire ne vous protège pas de cela.

Un malware qui s'exécute sous votre compte utilisateur hérite de ce que votre compte peut faire. Il lit ce que votre session peut lire. Un coffre tiers déverrouillé sur ce même bureau est accessible au même code, par une plomberie différente. Changer de coffre change quel logiciel détient l'identifiant, pas le fait qu'un code hostile s'exécute en votre nom.

Nous pourrions vous dire l'inverse. Un guide de migration avec un lien affilié à la fin convertirait mieux que ce paragraphe. Mais une recommandation qui ne survit pas au modèle de menace ne vaut rien, et vous le découvririez à vos dépens.

Il existe de bonnes raisons de préférer un gestionnaire dédié à celui du navigateur : la portabilité entre écosystèmes, le partage contrôlé, l'indépendance vis-à-vis d'un seul navigateur, des chemins d'export plus clairs. L'immunité face à une machine compromise n'en fait pas partie.

Ce qui change vraiment la donne

Une clé de sécurité matérielle. Sur une clé FIDO2, la clé privée est générée à l'intérieur du jeton et n'en sort jamais. Un logiciel installé sur l'ordinateur peut demander à la clé de signer un défi ; il ne peut pas en extraire la clé. C'est une propriété structurelle de l'appareil, pas un réglage que l'on peut rater.

C'est exactement pour cela que les attaques ci-dessus visent les passkeys synchronisées. La synchronisation est un vrai confort, et c'est aussi, par conception, un identifiant qui existe à plus d'un endroit et peut être restauré sur un nouvel appareil. Ce qui peut être restauré peut, en principe, être exfiltré par un code disposant d'assez d'accès.

Pour le comparatif détaillé, nos guides Token2 face à YubiKey, Nitrokey face à YubiKey et garder une seconde clé de secours couvrent les arbitrages pratiques, prix compris.

Quoi faire cette semaine

Vérifier que la machine est saine. Chacune de ces attaques suppose un malware déjà présent. Ralentissements inexpliqués, réglages du navigateur modifiés tout seuls, outils de sécurité qui ne se mettent plus à jour : traitez l'analyse comme la première étape, pas la dernière.

Installer les mises à jour. Les mises à jour de Chrome et de Windows sont le chemin par lequel les correctifs vous parviennent. Les repousser est la seule décision qui vous maintient exposé à une faiblesse connue et désormais publique.

Mettre une clé matérielle sur les comptes qui comptent. L'e-mail d'abord, car il est le chemin de récupération de tout le reste. Il n'en faut pas pour chaque compte, mais pour ceux dont la prise de contrôle ferait tomber les autres.

Ne pas migrer dans la panique. C'est un effort qui donne l'impression d'avancer et ne change rien à cette menace.

Ce qu'il faut retenir

Les passkeys font toujours ce pour quoi elles ont été conçues : elles neutralisent le hameçonnage et la réutilisation de mots de passe, et aucune fausse page de connexion ne peut capturer quoi que ce soit de réutilisable. Ce que cette recherche perce, c'est une promesse plus large qu'elles n'ont jamais pu tenir : celle qu'un identifiant resterait sûr sur une machine qui ne l'est pas.