Las passkeys, basadas en criptografía de clave pública, suponen una mejora notable frente a las contraseñas tradicionales: eliminan secretos reutilizables y son resistentes al phishing porque la clave privada permanece en el dispositivo y no se transmite durante la autenticación. Sin embargo, según el análisis publicado el 30 de octubre en SecurityWeek, esa fortaleza en la verificación no elimina riesgos más amplios en el ciclo de identidad.
Qué cambia con las passkeys y qué no
Las passkeys sustituyen el modelo de contraseña por pares de clave pública/privada. Esto complica ataques como el robo de bases de datos de contraseñas, el credential stuffing y buena parte del phishing que depende de que el usuario introduzca una contraseña en un sitio falso. También pueden mejorar la experiencia de usuario, al suprimir la necesidad de recordar contraseñas complejas o usar códigos de un solo uso repetidamente.
No obstante, la autenticación fuerte responde solo a una pregunta: ¿posee el solicitante la credencial legítima? No responde a otras cuestiones críticas: ¿fue el alta de esa cuenta realizada por la persona correcta? ¿está el dispositivo comprometido? ¿ha habido manipulación de la sesión tras autenticarse?
Riesgos alrededor de la inscripción y la recuperación
El informe destaca dos vectores donde los atacantes pueden eludir la seguridad que aportan las passkeys:
- Si un atacante crea o toma control de una cuenta antes de que se asocie una passkey, posteriormente podrá autenticarse con la passkey legítima sin que el servicio detecte el origen fraudulento de la inscripción.
- Los procesos de recuperación de cuenta —como códigos por SMS, correos electrónicos, preguntas de seguridad o atención de help desk— suelen ser más débiles que la autenticación con passkey. Un atacante que explote esa vía podrá asociar un nuevo autenticador sin comprometer la passkey original.
En ambos casos, el problema no es la passkey en sí, sino la integridad del flujo de confianza que permite vincularla a una identidad.
Más allá del inicio de sesión: evaluación continua del riesgo
El texto subraya que muchos entornos siguen la lógica «autenticar y confiar» durante toda la sesión. Sin embargo, los adversarios modernos pueden operar después del inicio de sesión: secuestrar sesiones, comprometer dispositivos, abusar de privilegios o ejecutar transacciones anómalas. Dado esto, conviene mover el paradigma hacia un modelo de confianza continua.
La detección de amenazas a la identidad (identity threat detection) complementa a las passkeys evaluando continuamente factores como características del dispositivo, atributos de la identidad, comportamiento del usuario, contexto de red, cambios en la cuenta y señales de amenaza. Con un enfoque basado en riesgo, las organizaciones pueden permitir interacciones normales para usuarios conocidos y elevar controles cuando se detecten señales sospechosas.
Implicaciones prácticas para administradores y propietarios de sitios
- Revisar los procesos de inscripción y recuperación: asegurar que la vinculación inicial de una passkey y los flujos de recuperación cuentan con controles equivalentes de confianza.
- Implementar evaluación continua de riesgo: aprovechar señales de dispositivo, comportamiento y contexto para ajustar controles en tiempo real en lugar de confiar ciegamente tras la autenticación.
- No delegar toda la seguridad en la passkey: entenderla como una mejora crítica de autenticación pero no como una solución única para la gestión de identidades.
En resumen, las passkeys reducen una superficie de ataque importante al hacer más difícil robar credenciales reutilizables y al minimizar ciertas formas de phishing. Pero al eliminar una capa de riesgo, también empujan a los atacantes a explotar otros puntos del ciclo de identidad: inscripción, recuperación, dispositivos y sesiones. Para mantener la seguridad de las cuentas es necesario combinar passkeys con controles de integridad de inscripción y con detección continua de riesgo e identidades.
Lee también:
- FBI atribuye a TraderTraitor el mayor robo en criptomonedas: más de 6.4 millardos de dólares
- Investigación revela infraestructura DNS detrás del malware Android ‘RatHat’ usado en campañas de smishing
Fuente: SecurityWeek
