据TechRadar报道，FIDO联盟估计全球通行密钥使用量已超过50亿，超过四分之三的全球消费者至少在一個账户上启用了通行密钥。报道同时援引Javelin的研究称，2025年美国仍有约600万消费者受到账户接管影响，同比增加18%，损失超过150亿美元；美联储报告的数据也显示，2023至2024年账户接管增长36%，而这只是上报到该机构的事件。

报道称，通行密钥对金融行业有直接吸引力：它减少了对可重复使用的知识型凭据的依赖，用户不必再回答母亲的婚前姓、成长城镇或输入多位密码，登录时使用指纹等生物特征即可加快访问。但账户接管数据说明，通行密钥并非失败的根源，问题在于部署方式与防护措施。文章比喻说，如果欺诈者能操纵锁匠拿到新钥匙，只守住前门并不够。

TechRadar指出，通行密钥认证成功只意味着设备关联凭据处于控制之中，金融机构仍需证明该凭据如何被注册，以及它授予的会话是否可信：账户持有人是否真的打算添加收款人、恢复账户或转移大额资金。通行密钥有用，但从未被设计为单独回答所有这些问题。

报道还提到，Palo Alto Networks的Unit 42在8月公布了三项针对通行密钥保护账户的概念验证攻击：受感染设备上的恶意软件可在账户持有人不在场时完成认证，干扰新通行密钥的注册，甚至暴露同步到用户环境中的通行密钥。不过，这些场景都始于已植入恶意软件的“中毒”设备，最严重的情况还依赖特定浏览器、操作系统和预置安全硬件的组合；研究没有破解通行密钥背后的密码学，也没有发现可一次性洗劫的凭据“主库”。因此，此类针对个人的攻击比常见大规模泄露更难扩展。

但报道强调，“难以扩展”在金融业并不是充分防御。犯罪分子无需窃取数千个账户，只要一个“鲸鱼”客户足以证明投入合理；一旦得手，单次泄露也可能损害银行声誉或监管地位。账户恢复则被视为最薄弱环节：用户会问丢失或更换设备后怎么办，银行希望流程快速无痛，但签发新通行密钥不像重置密码，其可信度取决于签发流程。如果恢复仍回退到电子邮件、短信或笔记本里的PIN，攻击者只需越过这道较弱的门槛，通行密钥便又被拉回知识型安全。