Безопасность

Почему passkey не утекает вместе с базой и не ловится на фишинг.

При регистрации телефон создаёт пару ключей для конкретного сайта. Публичная часть уходит на сервер, приватная остаётся на устройстве и сайту не отправляется никогда.

Как работает SIM swap и по какому признаку его заметить первым.

Номер живёт не в симке, а в записи у оператора. Потерял телефон — номер переносят на новую карту. Этим и пользуются.