¿Por qué tu contraseña ya es un problema resuelto? La revolución de las passkeys explicada

El clic en «¿Olvidaste tu contraseña?» constituye una de las interacciones más frecuentes en sistemas digitales. El problema, sin embargo, trasciende la memoria del usuario: los ataques de suplantación de identidad (spoofing) aumentaron un 3,000% desde 2020 debido al auge de la inteligencia artificial generativa, y el 77% de las brechas de seguridad continúan involucrando el robo de credenciales tradicionales. En un banco de Dubái, este vector de ataque se tradujo en 35 millones de dólares robados mediante deepfakes de voz y video.

Esto no representa una evolución gradual del sistema de autenticación, sino un cambio de paradigma. La transición hacia un modelo sin contraseñas liderado por las passkeys —llaves de acceso digitales vinculadas al dispositivo y a la biometría del usuario— no constituye solo una tendencia de mercado: es un imperativo de seguridad técnica. Su éxito dependerá de una implementación rigurosa bajo los estándares del NIST, combinando resistencia al phishing con una arquitectura de verificación de identidad robusta y descentralizada.

Una contraseña constituye un secreto que el usuario comparte con el servidor cada vez que la utiliza, lo cual implica exposición a interceptación, robo o adivinación. Las passkeys operan bajo una lógica distinta: se basan en los estándares FIDO2 y WebAuthn, donde el secreto nunca viaja por la red.

Al crear una passkey, el dispositivo genera dos claves matemáticamente vinculadas: una pública, almacenada en el servidor, y una privada, que nunca abandona el hardware del usuario. Durante el inicio de sesión, el servidor envía un «desafío» que el dispositivo firma localmente con la clave privada, tras verificar la huella o el rostro del titular.

El resultado es lo que el NIST denomina resistencia al phishing: incluso si un atacante induce al usuario a ingresar a un sitio fraudulento, el navegador o sistema operativo detecta que el dominio no coincide con el registrado para esa passkey, y se niega a firmar cualquier solicitud. El ataque falla antes de comenzar.

Las guías de identidad digital del NIST (SP 800-63B) definen dos niveles relevantes para sistemas de alta seguridad.

La seguridad suele presentarse como un factor que ralentiza las operaciones de negocio. Con las passkeys ocurre el efecto contrario: las empresas que las adoptan reportan mejoras medibles en sus métricas de producto.

Google reportó que las tasas de éxito en el inicio de sesión son cuatro veces mayores con passkeys que con contraseñas tradicionales. Los tiempos de autenticación se reducen hasta en seis veces, según datos de la compañía. Este efecto impacta directamente en la conversión de ventas y la retención de clientes.

Restablecer contraseñas y enviar códigos por SMS no solo generan fricción operativa: representan un costo económico y una vulnerabilidad de seguridad. Los ataques de intercambio de SIM (SIM swapping), donde un atacante convence al operador telefónico de transferir el número a una tarjeta bajo su control, pueden eludir esa capa de verificación por mensaje de texto. Las passkeys eliminan ese vector de ataque de raíz.

La pregunta sobre qué ocurre si un rasgo biométrico es comprometido no resulta absurda. Algunos críticos señalan que la biometría crea un punto único de falla inmutable: a diferencia de una contraseña, una huella o un rostro no pueden modificarse si una base de datos es comprometida. Adicionalmente, el 73% de los sistemas de reconocimiento facial se muestra vulnerable ante deepfakes sofisticados generados por IA.

El NIST exige que los sistemas biométricos modernos implementen estándares de Detección de Ataques de Presentación (PAD), utilizando luz estructurada en 3D, termografía o análisis de micro-expresiones para confirmar que la muestra proviene de un ser vivo y no de una pantalla o máscara.

Un punto adicional relevante: Apple y Google no almacenan imágenes del rostro o la huella del usuario. Estas compañías guardan únicamente representaciones matemáticas dentro del hardware del dispositivo. Incluso si un atacante penetrara el sistema, los datos obtenidos resultarían inútiles para reconstruir el rasgo físico original.

Las passkeys sincronizadas, como aquellas que viajan por iCloud Keychain, ofrecen comodidad real para el usuario promedio: la pérdida de un teléfono no implica pérdida de acceso a las cuentas. Sin embargo, amplían la superficie de ataque en caso de que la cuenta principal en la nube sea vulnerada.

Para infraestructuras críticas, la recomendación técnica es clara: passkeys vinculadas al dispositivo en nivel AAL3, utilizando tokens físicos con hardware certificado, sin sincronización y sin posibilidad de clonación remota. Esta arquitectura minimiza el riesgo a costa de una recuperación de acceso menos flexible, una relación de compromiso que se justifica cuando el valor de lo protegido excede ampliamente el costo de la fricción adicional.

Una transición completa e inmediata no es necesaria, pero sí es indispensable iniciar el proceso. Las siguientes tres acciones marcan una diferencia significativa cuando se implementan de forma sostenida, más allá de constituir simples recomendaciones aisladas.

En un entorno dominado por aplicaciones en la nube y trabajo remoto, ya no existe un servidor central que proteger mediante un firewall tradicional. La identidad se ha convertido en el nuevo perímetro de seguridad, y la passkey, respaldada por biometría local y hardware aislado, representa hoy la herramienta más eficaz disponible para protegerlo.

Meta, Microsoft y Apple ya lideran esta transición hacia un modelo sin contraseñas, con un impulso que resulta masivo e irreversible en la trayectoria del sector. La disyuntiva real para las organizaciones no es si las contraseñas van a desaparecer, sino si optarán por liderar ese cambio de manera proactiva o reaccionar únicamente después de sufrir la primera brecha de seguridad significativa.