El fin de las contraseñas no es el fin de los ciberataques
Las Passkeys irrumpieron en el panorama de la ciberseguridad con una propuesta de valor indiscutible: sustituir las vulnerables contraseñas por criptografía de clave pública, vinculando las credenciales a servicios legítimos y eliminando de un plumazo el phishing tradicional. Sin embargo, la seguridad es un ecosistema en constante evolución, y lo que ayer parecía inexpugnable, hoy presenta nuevas grietas.
Investigaciones recientes, publicadas por expertos en seguridad y recogidas por Bleeping Computer, han documentado 39 métodos distintos para comprometer la autenticación basada en Passkeys. Lo más alarmante para los responsables de IT y seguridad corporativa es que estos ataques no necesitan romper la criptografía del protocolo FIDO2; en su lugar, manipulan el entorno que rodea a la credencial.
La criptografía es sólida, pero el entorno es vulnerable
Es fundamental entender una distinción técnica: la matemática detrás de FIDO2 permanece intacta. El problema reside en los múltiples «límites de confianza» que cruza una autenticación moderna. Desde el navegador y el sistema operativo hasta los gestores de contraseñas y los servicios de sincronización en la nube, cada capa es una superficie de ataque potencial.
Entre las técnicas identificadas destacan:
- Manipulación de la interfaz (UI): Ataques de prompt flooding (saturación de avisos) o superposición de ventanas falsas que engañan al usuario para que autorice una sesión maliciosa.
- Explotación de la sincronización: Si una Passkey se sincroniza en iCloud o Google, el compromiso de la cuenta de la nube compromete automáticamente la credencial de acceso corporativa.
- Ataques de registro (Enrollment): En lugar de robar una clave existente, los atacantes engañan al sistema para registrar una Passkey secundaria en un dispositivo bajo su control.
El riesgo de las Passkeys compartidas y sincronizadas
Para el entorno empresarial, la portabilidad de las Passkeys es un arma de doble filo. Cuando una credencial puede ser exportada, restaurada o movida entre dispositivos, el perímetro de seguridad se expande peligrosamente. Un malware en un dispositivo móvil o una extensión de navegador maliciosa pueden interceptar las aserciones de autenticación sin necesidad de extraer la clave privada del hardware.
Recomendaciones estratégicas para la alta dirección
Desde Intedya, subrayamos que la adopción de Passkeys debe ir acompañada de una arquitectura de identidad robusta. No basta con implementar la tecnología; hay que securizar el proceso completo:
- Hardware Biométrico Dedicado: Para identidades críticas o de alto valor, el uso de llaves de seguridad físicas (como tokens FIDO2 con biometría integrada) es superior a las Passkeys almacenadas en software. Estos dispositivos no tienen sistema operativo ni conexión a la nube, lo que elimina gran parte de la superficie de ataque.
- Configuración Estricta del Servicio: Las empresas deben configurar sus sistemas para validar la identidad del autenticador y restringir el registro de nuevos dispositivos a canales verificados y seguros.
- Protección del Proceso de Recuperación: El eslabón más débil suele ser la recuperación de cuenta. Si un atacante puede resetear el acceso mediante un SMS o un correo electrónico, la resistencia al phishing de la Passkey se vuelve irrelevante.
Conclusión
La existencia de estos 39 métodos de ataque no significa que debamos volver a las contraseñas. Al contrario, demuestra que los atacantes están desesperados por encontrar alternativas porque el núcleo de FIDO2 es extremadamente difícil de batir. El reto para las empresas hoy no es solo adoptar nuevas tecnologías, sino gestionar con rigor el ecosistema de confianza donde estas operan.
Fuentes
- Bleeping Computer — 39 New Methods That Compromise Passkey Authentication
https://www.bleepingcomputer.com/news/security/39-new-methods-that-compromise-passkey-authentication/