Passkeys: 3 ataques que rompen su promesa de seguridad

Qué ha pasado: tres investigaciones agrietan la promesa de las passkeys

En conferencias de seguridad como DEF CON y Black Hat USA, investigadores de SquareX, Unit 42 de Palo Alto Networks y SpecterOps han presentado ataques que agrietan la promesa de las passkeys. SquareX demostró que extensiones y scripts maliciosos pueden falsificar el registro y el inicio de sesión con passkeys, comprometiendo aplicaciones SaaS empresariales sin necesidad del dispositivo ni de la biometría del usuario. Unit 42 documentó ataques contra el ecosistema de passkeys sincronizadas de Google, donde malware puede tomar el control sin escalada de privilegios, sin desbloquear el dispositivo y sin interacción del usuario. SpecterOps mostró cómo abusar de logs de Windows, del gestor de contraseñas de Google y de Windows Hello para recuperar claves privadas sincronizadas o saltar la autenticación multifactor resistente al phishing, aparentemente sin romper el FIDO2.

El denominador común de estas tres investigaciones es el más preocupante. La amenaza dejó de estar en el phishing — el vector que las passkeys eliminaban — y pasó a residir en el propio dispositivo comprometido y en la nube de sincronización donde las claves quedan guardadas. Es decir, esta vulnerabilidad de las passkeys toca directamente el núcleo de la promesa passwordless. Si la seguridad ya no está en “algo que sabes” ni en un “algo que tienes” intacto, sino en la confianza en un dispositivo y en una nube de sincronización, entonces el modelo pierde gran parte de su garantía.

Esto importa porque la promesa era simple: sin contraseñas, sin robo de credenciales. Pero estos trabajos muestran que se pueden obtener claves privadas sincronizadas e incluso saltar la autenticación fuerte sin tocar el dispositivo del usuario. Es una vulnerabilidad de las passkeys que reescribe la conversación: ya no se trata de convencer a los usuarios de abandonar las contraseñas, sino de saber si las alternativas aguantan un dispositivo comprometido. Y esta vulnerabilidad de las passkeys fuerza a la industria a mirar la sincronización de claves como el nuevo perímetro a defender, en lugar de asumirla como una comodidad inofensiva. Por eso el trabajo de estos investigadores toca el núcleo del passwordless.

Passkeys sincronizadas vs. ligadas al dispositivo: la comparación que decide tu seguridad

Cuando eliges entre passkeys sincronizadas vs ligadas al dispositivo, no eliges un ajuste menor: decides dónde vive tu clave privada, y eso marca cuánto riesgo asumes.

Las ligadas al dispositivo confinan la clave en el procesador seguro — Secure Enclave o TPM. El malware que se instale en tu sistema no puede extraerla, por muy infectado que esté el equipo. Es la opción con mayor resistencia técnica al robo local: incluso si un atacante controla tu portátil, la clave queda fuera de su alcance.

Las sincronizadas — Google Password Manager, iCloud, gestores — priorizan la comodidad. Tu clave viaja por la nube y se replica entre dispositivos, pero hereda todos los riesgos de la cuenta que la mueve. Investigaciones recientes han mostrado que un único acceso comprometido puede exponer passkeys presentes y futuras de esa cuenta, y que esa clave maestra no se puede rotar ni revocar fácilmente.

Entonces, ¿cuál elegir? Depende del caso de uso. Para el día a día — entrar en el correo personal o en redes desde el móvil y el portátil — las sincronizadas son prácticas, asumiendo que su seguridad depende de la de tu cuenta en la nube. Para el acceso a sistemas sensibles, como correo corporativo, administración de infraestructura o banca, la balanza se inclina sin dudar hacia las ligadas al dispositivo, con la clave confinada en hardware.

Y si el caso es realmente crítico, las claves físicas tipo YubiKey siguen siendo el estándar de oro contra el phishing. El coste: pierdes el dispositivo y, sin copia de seguridad, pierdes el acceso. Piensa en esta comparación como capas: sincronizadas para comodidad, ligadas para control, físicas para blindaje. Elegir bien es decidir qué estás dispuesto a arriesgar.

Cómo proteger tus passkeys hoy: 5 pasos prácticos y los errores que debes evitar

Para mitigar ya las vulnerabilidades reveladas, aplica estos cinco pasos en orden. Primero, usa passkeys ligadas al dispositivo para las cuentas críticas: banca, email principal y SaaS empresarial. La sincronización es cómoda, pero decides tú qué cuentas la merecen; el resto puede vivir en la nube con menor riesgo.

Segundo, si usas sincronización, blinda la cuenta que la gestiona. Pon una passkey maestra en hardware, activa MFA fuerte y nunca dejes SMS como único factor de recuperación.

Tercero, haz auditoría de extensiones. SquareX demostró que una extensión maliciosa puede falsificar el flujo WebAuthn completo; desinstala todo lo que no uses a diario y revisa los permisos de las que quedan antes de seguir navegando con normalidad.

Cuarto, mantén sistema operativo y navegador actualizados. El malware local es el vector principal de los ataques de type Pass-the-Passkey y similares; cada actualización cierra una vía de entrada concreta, así que activa las actualizaciones automáticas y no las pospongas.

Quinto, evita el error más caro: creer que la passkey hace todo el trabajo. Dispositivos compartidos, cuentas de recuperación débiles y cuentas de sincronización sin MFA siguen siendo el agujero real por donde entran los atacantes.

Así que cómo proteger tus passkeys hoy empieza por decidir qué cuentas merecen seguridad máxima y cuáles pueden permitirse la sincronización. Si dudas sobre cómo proteger tus passkeys, empieza por el email principal: es la llave maestra de casi todo tu ecosistema y merece el nivel más alto que ofrezca tu proveedor. Y recuerda: cómo proteger tus passkeys no es apilar más capas de forma automática; es controlar con disciplina qué se sincroniza, qué se comparte y qué extensiones corren en tu navegador. La passkey es fuerte, pero el eslabón débil sigues siendo tú y la configuración que dejas por defecto. Revisa cada paso mensualmente y no confíes en un solo mecanismo para tu cuenta más sensible.

¿Las passkeys siguen mereciendo la pena? El veredicto, con matices

¿Merecen la pena? Sí, pero con matices. La pregunta correcta no es si las passkeys son 100% seguras —nada lo es—, sino si siguen siendo mejores que la alternativa que tienes encima de la mesa. Y la respuesta es clara: las passkeys merecen la pena porque eliminan los ataques que de verdad destruyen cuentas hoy: el phishing, el credential stuffing y el robo masivo de bases de datos. Esos no son casos teóricos de laboratorio; son la causa de la mayoría de brechas que lees cada semana en la prensa.

Las vulnerabilidades reveladas no cambian ese equilibrio. Comprometer una passkey exige malware ya instalado en tu dispositivo o un compromiso previo de tu cuenta de sincronización: un atacante sofisticado con muchísimo esfuerzo invertido. Para robar una contraseña, en cambio, puede bastar un correo de phishing bien redactado a escala masiva. Esa es la comparación honesta: no es equivalente ni de lejos.

Entonces sí, las passkeys merecen la pena, sacrificando una sola cosa: la falsa sensación de invulnerabilidad. El passwordless cambia el juego de seguridad, no lo elimina. Si piensas que tu passkey te hace invencible, relajas la higiene del resto de tus cuentas y es justo ahí donde empiezan los problemas. El riesgo real no es volver a las contraseñas, sino creerte a salvo.

Mi veredicto, con matices: migrar a passkeys merece la pena sin dudarlo, porque pasas de ser un objetivo fácil y barato a uno carísimo de atacar. No es protección absoluta —conviene decirlo con claridad— pero es una mejora enorme sobre el statu quo. No te obsesiones con los tres ataques: tómalos como un recordatorio de que ningún sistema es invulnerable, y sigue adelante con el cambio. La amenaza real nunca fue la passkey, sino quedarte anclado a las contraseñas.

Passkeys: respuestas a las 3 preguntas más buscadas

¿Las passkeys son seguras? Depende de la amenaza. Frente al phishing, sí: brillan porque no hay contraseña que robar. Pero ¿las passkeys son seguras frente al malware local o al compromiso de la nube de sincronización? Las investigaciones recientes demostraron que no del todo, así que la respuesta honesta es “mucho, con matices”. Por eso, si te preguntas si ¿las passkeys son seguras en tu caso, la pregunta correcta es contra quién te proteges.

¿Me pueden robar una passkey? Sí, y hay tres vías ya demostradas. Una extensión maliciosa del navegador puede capturarla en vuelo (SquareX). Un malware con acceso a la clave sincronizada en la nube la extrae sin tocar tu dispositivo (Unit 42). Y abusar de logs y gestores ya comprometidos permite reproducir la credencial (SpecterOps). Traducción: tu passkey no vive solo en tu teléfono, también en servidores que no controlas.

¿Passkeys o gestor de contraseñas? No es un duelo, es una escalera. Las passkeys superan a las contraseñas en resistencia al phishing, sin discusión. Pero un gestor con MFA fuerte sigue siendo mejor que contraseñas solas. ¿La opción óptima? Combina ambos: passkeys como primera línea y el gestor como respaldo con doble factor. Así cubres los dos flancos: robas la contraseña y aún te falta el segundo factor; robas la passkey y aún tienes gestión local.

En resumen rápido: ¿las passkeys son seguras? Sí, enormemente, frente al atacante de phishing típico. Solo bajan la guardia ante el malware y la nube de sincronización. Con una passkey ligada al dispositivo y un gestor con MFA, esas dos grietas se cierran casi por completo.

Qué cambia esto para el fin de las contraseñas en 2026

El panorama del fin de las contraseñas se redefinió en las recientes ediciones de Black Hat USA y DEF CON. Ya nadie vende passkeys como algo invulnerable. La conversación pasó a ser “passkeys, pero con higiene de dispositivo”, un giro que marca cómo se está adoptando el passwordless ahora mismo.

Según datos recientes de la FIDO Alliance, la adopción de passkeys está madurando: la mayoría de los usuarios las conocen, una gran parte las ha activado al menos una vez, y muchas personas las usan con regularidad cuando están disponibles. En otras palabras, el camino hacia el fin de las contraseñas no se ha frenado por estos hallazgos; se ha vuelto más honesto.

Los proveedores ya reaccionan: se espera rotación de la SDS, mejor aislamiento entre navegador y autenticador y detección de extensiones maliciosas. La conclusión: el passwordless no muere, madura. Deja de ser una promesa de seguridad absoluta para convertirse en una capa que exige defender el dispositivo y la cuenta de sincronización. Eso, y no otra cosa, es lo que define la adopción del passwordless en este momento.

Perguntas Frequentes

¿Las passkeys son seguras?

Sí, son mucho más resistentes al phishing que las contraseñas, pero no invulnerables: el malware en el dispositivo y el compromiso de la cuenta de sincronización abren vías de ataque reales demostradas en Black Hat y DEF CON.

¿Me pueden robar una passkey?

Sí. Tres investigaciones lo demostraron: SquareX vía extensiones maliciosas que falsifican WebAuthn, Unit 42 vía malware que descifra las passkeys sincronizadas de Google, y SpecterOps abusando de logs de Windows y gestores para recuperar claves privadas.

¿Passkeys sincronizadas o ligadas al dispositivo?

Las ligadas al dispositivo son más seguras porque la clave privada nunca sale del hardware y el malware no puede extraerla. Las sincronizadas priorizan la comodidad, pero heredan los riesgos de la nube que las gestiona y de la cuenta que las protege.