Las passkeys, una alternativa a las contraseñas tradicionales, han sido prometiendo una mayor
El primer ataque implica que el malware se haga pasar por el dispositivo del usuario para iniciar sesión sin necesidad de desbloquear el móvil, sin huella dactilar ni reconocimiento facial. El segundo ataque consiste en que el malware engaña al sistema para que acepte una verificación biométrica del dispositivo y registra una clave pública nueva bajo control del atacante. El tercer y más serio ataque es el robo de la clave maestra, que permite al malware acceder a todos los registros de credenciales del usuario.
Google retiró la clave de los registros de diagnóstico tras recibir el aviso, pero Olshtein señala siendo accesible en la memoria del navegador. Estos ataques no afectan la criptografía de las passkeys, sino que explotan vulnerabilidades en la implementación de servicios específicos y en la gestión de datos de diagnóstico por parte de Chrome.
A pesar de estas vulnerabilidades, las passkeys siguen siendo consideradas una mejor opción en comparación con las contraseñas tradicionales, que son propensas a ser reutilizadas o débiles. El 80% de las brechas relacionadas con credenciales se deben a contraseñas reutilizadas o débiles, según el informe Verizon DBIR. Las passkeys eliminan este problema en origen, ya que no hay contraseña que robar, reutilizar o filtrar.
El informe de Unit 42 documenta que las passkeys son inseguras solo cuando un malware ya tiene acceso a tu sistema, y puede explotar las implementaciones específicas de los servicios que no verifican rigurosamente la autenticación biométrica. El vector de ataque previo, el malware, es el problema real; las passkeys son solo la superficie que ese malware intenta explotar. El NCSC británico recomendó en abril de 2026 cambiar a passkeys siempre que sea posible, añadiendo que siguen siendo significativamente más seguras que las contraseñas tradicionales.
Etiquetas: Tecnología, Ciberseguridad, Google, Passkeys, Malware, Tecnología · Ciberseguridad global
About the Author
