Passkey 更糟糕

# Passkey 更加危险 来源：https://www.kcoleman.me/2026/10/22/hacked.html 今天我收到了一封奇怪的邮件，随后演变成了一次令人不安的钓鱼经历。 > // 如果你只是想了解 passkey 有多糟糕，请直接跳转到[第 4 节](https://www.kcoleman.me/2026/10/22/hacked.html#4-the-passkey-was-actually-the-scariest-part) ## 一切始于一张 YouTube 客服工单 我以为有人从俄罗斯创建了一张 YouTube 客服工单，企图接管我的 gmail 账户，我需要点击他们的链接来拒绝该工单。哎呀。 ## Google 登录页面*看起来*几乎是真的 但我在另一个浏览器标签页中已经登录了 Google。那为什么 Google 还要我重新登录呢？ 我甚至注意到了 `sites.google.com` 的登录页面，但还是继续操作了，以为这只是某个客服网站的特殊认证流程（公司要求你从主账户单独登录客服工单网站是很常见的）。 我从密码管理器中复制了 Google 凭据。然后它要求我输入双因素认证验证码。 我复制粘贴了正确的验证码。验证失败了。 我又试了一次。 又失败了。 ## 然后弹出了 Apple Passkey 提示 > 我真的很后悔没有截图保存他们的钓鱼页面用于研究，但在我向 Google 举报钓鱼页面之后，攻击者或 Google 已经将该页面下架了。 两次双因素认证尝试失败后，网站切换了认证方式。 它呈现了一个看起来像 Apple passkey 界面的东西，直接在浏览器窗口内渲染。 *搞什么鬼？* 我根本不使用 Apple Passkey。这也不是我的 passkey 认证通常的工作方式。 于是我点击了取消，退出了这个 Apple passkey 界面。 ## 他们知道我用的是 Bitwarden，而且早有准备 在我关闭 passkey 提示后，又弹出了一个看起来像 Bitwarden 登录界面的窗口，询问我是否要为账户添加 passkey。 我使用的是一个 Bitwarden 的分支版本，已更名为 [Saigon Safe](https://chromewebstore.google.com/detail/saigon-safe/iplggehdmbbndlednajekcfmcokbnnlj?authuser=1&hl=en)，而不是 Bitwarden 品牌的扩展程序！ > 广告时间：[Saigon Safe](https://www.kcoleman.me/2026/10/22/2026/06/14/saigon-safe.html) 移除了广告，增加了高级安全措施，并大幅改进了用户体验。点击文章链接查看 Saigon Safe 的实际界面。 所以他们展示的登录界面其实和我的密码管理器并不匹配，但通过浏览器扩展检测 API，攻击者能够精确知道应该伪装成哪个密码管理器。浏览器真是好心，为钓鱼者提供了恰到好处的工具。 现在他们直奔要害：我密码管理器中"安全"存储的 650 多个密码。 ## 然后 Google 发邮件告诉我：添加了一个新的 Passkey 完了。攻击者安装了可以随时返回账户的后门。 ## 一个我不认识的设备 有人已经获取了我账户的访问权限，而且攻击者要么足够聪明、使用了靠近我的代理位置，要么就在物理上离我不远……太可怕了。 ## 如果你也遇到这种情况，应该怎么做： 1. 将他们的设备登出 2. 立即删除新的 passkey 3. 恢复被删除的邮件：[Google 邮件恢复工具](https://support.google.com/mail/workflow/9317561?hl=en) 4. 检查 Google Drive 5. 检查 Gmail 转发设置 ## 我的安全策略：为什么这次事件本可以不那么严重 因为虽然我确实在这次钓鱼攻击中中了部分圈套，但我也刻意设置了一些措施，来限制类似事件发生时可能造成的损失。 ### 1. 我不会在 Gmail 中保留 16 年的邮件 我刻意只在 Gmail 中保留大约五年的邮件。 更早的邮件会被离线备份、加密，并存储在我自己控制的基础设施上。几乎没有理由让那么多历史信息一直在线可用。 ### 2. 我最敏感的账户使用独立的*私密*电子邮件地址 对于银行申请、密码管理器和其他关键服务，我通常使用专用的、非公开的自定义域名邮箱地址。 这样，即使有人攻破了我的主要 Gmail 账户，他们也无法直接获得我最敏感账户的列表、登录标识或通过触发密码重置来访问这些账户。 ### 3. 像黑客一样思考 这次攻击中仍让我困惑的一点是，钓鱼工具相比攻击者实际进入账户后所做的操作来说，显得过于精良了。 据我了解，他们： 1. 永久删除了原始钓鱼邮件 2. 查看了我 Drive 中的 2 个 Google Sheet 文档 不过也许他们还做了其他我不知道的事情。 他们显然投入了一个令人信服的钓鱼工具包，但在获得账户访问权后似乎并没有立即利用的明确计划。也许他们使用的是预先购买的钓鱼工具包，但足够老练，能够快速利用访问权限做一些有意义的事情。 **推测 1：他们在收集被攻破的账户以供日后出售。** 也许目标并不是直接攻击我。也许是为了收集尽可能多的被攻破的 Google 账户，注册 passkey，然后将访问权出售给其他犯罪分子。 这些买家随后可以利用这些账户进行定向钓鱼、窃取敏感文档、传播恶意软件，甚至进行勒索软件攻击。 **推测 2：他们计划稍后回来亲自利用这个账户。** 我怀疑攻击者不会设计一个系统，让他们自己坐在电脑前等着人们上钩。这些攻击活动很可能是群发给大量人的，初始入侵在很大程度上可能是自动化的。 但我的情况中发生了一件有趣的事。可能是因为我在收到邮件后很快就打开了邮件，也许攻击者当时正好在场，进行了一些手动操作。 我的 Google Drive 访问历史显示了他们查看的内容：与金融和加密货币相关的文档。幸运的是，虽然这些是隐私信息，但并不足以被用来窃取我的资金。 这表明至少有人主动浏览了我的账户。 但没有任何证据显示他们添加了转发地址、永久删除了 Drive 文件夹或邮件、向我的联系人发送邮件等。 ### 4. Passkey 才是最可怕的部分 最近 Hacker News 上关于 [passkey 是否是一个陷阱](https://news.ycombinator.com/item?id=50048312)的讨论，我认为我的经历突出了另一个值得关注的风险。 **Passkey 可以同时取代你的密码和第二步认证。** 它们的设计目标是抵抗钓鱼，这很好。但当攻击者成功在你的账户上注册**他们自己的 passkey** 时，会发生什么呢？ 一旦那个 passkey 变为可用状态，他们可能无需你的密码或新的 2FA 验证即可登录。我在一个私密窗口中用一个全新的 Google 账户验证了这一点（但使用了相同的设备和 IP 地址），Google 确实没有要求进行 2FA 验证（无论是确认其他设备、TOTP 还是短信）。 幸运的是，Google 给我发送了邮件和推送通知，告知添加了一个新的 passkey。 **如果没有 Google 的新 passkey 邮件和推送通知，我可能只是改了密码，以为账户安全了，然后完全忽略了攻击者留下的新的后门。** Passkey 的注册让我想到了 GDPR 关于导出账户数据的规定——两者都产生了意想不到的后果：给攻击者提供了在你来得及提交工单将他们踢出去之前，快速窃取一切的权限。 **Passkey 的用户体验目前糟糕透了……攻击者利用了当前的流程："感谢你通过常规方式登录，现在让我们为你的账户添加一个 passkey 吧。"** Passkey 给了钓鱼者一条进入你系统的后门，而且不需要常规的 2FA 验证方式！ 我希望能有一种方法，在这项技术更加成熟之前，禁止在我的账户上使用 passkey。 我已经向 Google 举报了钓鱼网站。攻击者或 Google 已经将该网站下架。