パスキー神話崩壊 Google Password Managerの同期機能を狙う新攻撃手法

セキュリティ企業のPhishUは2026年5月20日（現地時間）、「Google Password Manager」（以下、GPM）の同期機能を悪用し、利用者のパスキーおよび保存済みパスワード群にアクセスできる攻撃手法「Vaultjacking」を発表した。 Google Password Manager同期機能を悪用 パスキーにアクセスする新手法 PhishUによれば、この手法はWebAuthnそのものを破るものではない。攻撃対象はGPMの同期基盤であり、利用者のGPM PINを取得し、新たな端末として「Googleアカウント」のセキュリティドメインに参加し、同期済み認証情報群を取得する。 GPMではパスキーやパスワードが複数端末間で同期される。同期データは、パスキーや保存済みパスワードを暗号化・復号する共通マスターキー「Security Domain Secret」（SDS）によって保

[Ep7TUEiW]

何が「神話崩壊」か。マスタキーに相当するものを悪意ある者に渡したら全部奪われるというのはあまりにも普通のことである。パスキーに絞って語る必要が無い。

[ata00000]

鍵がデバイス内にしかないのがパスキー(FIDO2)の強みなのに、別端末に同期する仕組みがあるんだから、そりゃそこが攻められるよねぇ⋯

[umaemong]

この記事に限らず、よく言われる『パスキーの弱点』って、ほぼ『(クラウド同期型)パスワードマネージャの弱点』なんだよね。実際そこが単一障害点になりうるので、慎重に扱わないといけないのだけど。

[mono_i_love]

雑に言うと、Googleパスワードマネージャーにパスキーを保存しておくと、フィッシングでGoogleアカウント乗っ取られちゃったらパスキーも無意味です、という当たり前の話を「パスキー神話崩壊」はちょっと釣りタイトルみ

[Falky]

そりゃVault破られたら死ぬに決まってるわ。//そもそもの話、Passkeyに神話などない。あると思ってるならそれはあなたがPasskeyとは何であるかという科学を理解しようとせず、勝手に神話を作って盲信しているだけだ。

[beejaga]

パスキーの秘密鍵を複製できるようにしたら、そりゃこうなる。FIDOでの議論で散々やったろ

[kaorun]

自分は連鎖漏洩が怖いからpasskeyはパスワードマネージャー使わずにデバイス毎に登録してる。iCloudはPasskeyだけ同期させない方法がないのは納得いかない

[JULY]

パスキーは無関係。昔からあるパスワードマネージャーでもずっと課題になっている、「クレデンシャルを預ける先をどう保護するか」の問題。

[makou]

さっぱりわからないが過信が禁物ってことだけはわかった。

[Cru]

パスキーは端末固有だけど、パスキー設定に必要なパスワードはGoogleに一括管理させちゃってるからAiTMフィッシングでGoogle password managerのアクセス権盗られたら再設定し放題…。Appleの方式だと既存端末ない時に詰むんだよ

[raitu]

“Google Password Manager”に中間者攻撃とフィッシングを仕掛けてパスワードやパスキーを奪取するという話

[maeda_a]

“この手法はWebAuthnそのものを破るものではない”　はい解散

[mas-higa]

Cloud で同期ってのが信用できない。垢BANされたら詰まへん?

[lainof]

同期の問題だと思ってる人は記事を読んでない。

[syamatsumi]

利便性とトレードオフなんだよなぁ……　いずれBitwardenにもこういう攻撃が来るんだろうか……

[parrying]

やっぱ同期ありpasskeyはMFAを迂回できちゃだめなんだよな

[t2y-1979]

パスワードマネージャーにおけるパスワードとパスキーの違いはフィッシングサイトでは鍵があわないことからフィッシングを防ぎやすい特徴がある

[circled]

Appleのパスキーの秘密鍵は暗号化されたsqliteに保存されていて、T2以降の生体認証経由(もしくは都度パスコード入力)じゃないと複合化出来ないから、データそのものが漏れても複合化出来ない以上、かなりセキュアな認識

[lli]

同期する端末に追加されると弱い。なんかいいやり方ないかね。

[ledsun]

パスキーをクラウドで同期する運用、いまいち謎。パスワードマネージャーで管理するならパスワードでよくない？（パスワードだと二要素認証必須のサイト増えたし、使い勝手は違うんだけどね）

[spark64]

そりゃまあフィッシングできたらそうなるか。キーが端末にしか無かったら不便すぎるし無くしたら即詰むしどうしようもない。クラウド同期型にしたら結局従来のリカバリとかのセキュリティ強度に落ちる。

[ot2sy39]

ブコメずれてない？パスキーは端末が重要な認証器なんだから、簡単に端末追加できたらダメでしょ。これがOKなら、パスキーなんて使わずGoogle Authenticatorでいい。

[otihateten3510]

別に神話はなかったと思うけど、銀の弾丸でもないので、各社&ユーザーがひたすらめんどくさいイタチごっこに巻き込まれるだけなんだよね

[Windfola]

"Googleが新規端末参加時に既存端末の承認を要求していない" まあ既存端末が文鎮化した時はパスワードと家電で認証した記憶あるけど、PINだけで通れるルートあったんだ？

[hiby]

いや鍵盗まれたら当たり前やろ。

[buhoho]

フィッシング絶対安全と言ってたものがめくれたわけだしそこまで煽りでも無いと思うけど。それとも皆さんクラウド使わずにローカルで手動同期してるんですかね。私は手動でしてるけど。

[iphone]

パスキー関係ないじゃん。ITmediaの技術記事は全く信用に値しない。

[fnm]

同期できないと不便すぎるんだけど、簡単に端末制限なく同期できすぎるのも問題なんだな。個人的にはメインPC(デスクトップ)、サブPC(ノート)、メインスマホ(泥)、サブスマホ(iPhone)の四つくらいは同期させたい。

[napsucks]

こういう釣りタイトルはどうなのかしらね。ビットコインのウォレットが盗まれたらビットコイン神話崩壊なのかしら。

[hatebu_admin]

パスキーは複数作成できるのだから同期なんて不要で必要な端末に対して作成すべきなんよ。複数作成を許容しないのはサービス側の怠慢でしかない