同步密钥攻击浮现，mSecure 要求用户重置 passkey

11月3日，mSeven Software 向 mSecure 用户发出邮件，要求他们修改密码、重置双因素认证并移除 passkey，理由是发现了可疑活动。这封警告发出之前，10 月 31 日发布的一篇操作指南称，在电脑上完成设置大约需要一分钟。

这封警告是一道重置指令，不是一份诊断。两家公司都没有说明有多少用户受影响，也没有说明是否所有攻击路径都已封堵。

mSecure 的邮件发出四天前，eSecurity Planet 报道了三种劫持已同步 Google passkey 的手法。数以百万计的人正被劝说为日常使用的账户添加 passkey。如今，这些 passkey 周边的恢复路径成了薄弱环节。一台被攻陷的 Windows 电脑，或一个被接管的邮箱，都能让这层保护失效。邮件发给了现有和此前的客户。邮件称 mSeven Software 最近发现了与该应用有关的可疑活动。邮件没有说明发生了什么，也没有说明存储的数据是否外泄。

mSeven Software 表示已启动调查，采取措施控制问题，并请来外部网络安全专家。

此后是公开的沉默。截至 11 月 3 日 18:00 UTC，mSeven Software 没有在 mSecure 的 X 和 Facebook 账号上发布任何关于这封邮件的内容。没有员工在支持论坛的帖子中回复。苹果 App Store 中 mSecure 最新的 iPhone 版本是 7.1.0，发布于 10 月 23 日。警告在十一天后发出。邮件把这些步骤作为可选项提出。邮件没有说明客户是否应继续使用 mSecure。

passkey 为何突然成了所有人的问题

note 于 2026 年 10 月 26 日向所有用户开放了基于 passkey 的两步验证，包括免费套餐用户。

此前该功能仅限商业套餐。10 月 31 日发布的一篇操作指南称，在电脑上完成设置大约需要一分钟。note 没有取消密码。它保留了密码，并把 passkey 作为第二道校验加入。这一设计对恢复至关重要。设备丢失的用户可以用发送到注册邮箱的六位验证码登录。这很方便，也是一扇后门。

研究者称同步 passkey 可被劫持

Palo Alto Networks 的 Unit 42 列出了三种手法。据 eSecurity Planet 10 月 30 日报道，这些手法可让 Windows 机器上的恶意软件劫持通过 Google Password Manager 同步的 passkey。

它们分别是 Pass-ta-key、Silver Pass-ta-key 和 Golden Pass-ta-key。基础版本利用 Chrome 由 TPM 支持的设备身份密钥，在无需管理员权限、生物识别、PIN 或用户交互的情况下请求一条有效的认证断言。Unit 42 在 eBay 上做了测试，eBay 没有校验 User Verified 标志。eBay 在披露后完成了修复。第三种手法更深一层。Golden Pass-ta-key 针对的是加密同步 passkey 的 Security Domain Secret。披露后，Google 已将该密钥从 Chrome 内部的 FIDO 日志中移除。研究者称 Chrome 仍会收到该密钥，且它在进程内存中会短暂可读。Unit 42 没有报告野外利用的情况。该研究没有指出受影响的 Chrome 版本，也没有确认所有攻击路径都已封堵。

密钥并非故事的全部

mSecure 称，保险库数据在同步之前已在客户设备上加密。它称其开发者无法读取客户信息。

德国联邦信息安全办公室（BSI）在 2025 年 12 月发表的一项研究中发现，mSeven Software 理论上可以访问 Android 版 mSecure 6.1.5 中存储的数据。该机构只测试了这一个版本。CompoSecure 首席技术官、Arculus 创始人 Adam Lowe 对 PaymentsJournal 表示，passkey 是一种无法被钓鱼的凭证，但仅靠它本身还不够。“我见过手机被植入 rootkit，也见过云被攻破，”他说。他说，Amazon 计划在 2030 年前实现无密码。

仍未解答的问题

mSecure 的邮件没有点名涉及的系统，没有说明活动发生的时间或是否已经停止，也没有给出收件人数。邮件没有说明该活动是否触及保险库数据或保护数据的密钥。邮件没有说明同步方式是否有影响。

Unit 42 提出了一个类似的未解问题。同一个密钥保护着现有和未来的同步 passkey，而据报道 Google 的实现没有提供轮换或吊销该密钥的办法。