セキュリティ企業SlowMistが、悪意ある拡張機能やXSSを用いてWebAuthn APIを乗っ取り、パスワードレス認証システムを危険にさらす攻撃手法について警告。
SlowMistのセキュリティ担当者23pdsは、悪意あるブラウザ拡張機能やXSS脆弱性を悪用し、WebAuthnキー認証をバイパスする新たな脆弱性を報告した。この攻撃は認証方式をパスワードログインに格下げし、キー登録を改ざんすることで、被害者の端末や生体認証データにアクセスせずとも資格情報を窃取できる。脆弱性は、侵害されたウェブサイトのアカウントに深刻なリスクをもたらす。