En los últimos años, las passkeys se extendieron como una nueva y segura forma de inicio de sesión que reduce la exposición al phishing y al robo de contraseñas. Este novedoso tipo de credencial digital se guarda en el dispositivo del usuario o en un servicio que almacena llaves de acceso.
Así para ingresar a alguna cuenta online, la persona confirma su identidad con el PIN, la huella digital o el reconocimiento facial de su celular o computadora y ya no necesita recordar ni escribir una contraseña que podría ser capturada en una página falsa.
Sin embargo, investigadores de ciberseguridad demostraron que un malware instalado en las computadoras puede manipular la infraestructura que protege estas credenciales y entrar en cuentas sin autorización.
El análisis fue realizado por especialistas de Unit 42, el equipo de investigación de amenazas de Palo Alto Networks. Los expertos encontraron tres vías de ataque contra las passkeys sincronizadas mediante Google Password Manager dentro de Chrome, en computadoras con Windows equipadas con un Módulo de Plataforma Segura (TPM).
El alcance del descubrimiento es específico: todas las técnicas necesitan que un malware ya se esté ejecutando en la computadora de la víctima. Vale aclarar que los investigadores tampoco quebraron el sistema de cifrado de las passkeys. Aprovecharon fallas en la manera en que Chrome y Google reconocen un dispositivo confiable, registran nuevos equipos y recuperan el acceso a las credenciales sincronizadas.
Cómo funcionan las passkeys y qué consiguieron vulnerar
Cada passkey se compone de un par de claves criptográficas. La clave pública queda almacenada en la página o el servicio al que accede el usuario. La privada permanece protegida en el dispositivo o en el administrador de credenciales y permite demostrar que la persona tiene autorización para ingresar.
Leé también: Usó una clave para borrar todo el contenido de su celular y ahora podría pasar hasta cinco años en la cárcel
Cuando comienza el inicio de sesión, la página envía una solicitud única al dispositivo, que utiliza la clave privada para firmarla digitalmente y el servicio verifica la respuesta con la clave pública. La parte privada no se entrega al sitio: la página recibe únicamente la respuesta firmada. Por esa razón, un atacante no puede capturarla con una página falsa de la misma manera que roba una contraseña.
Los investigadores descubrieron que un malware puede aprovechar esa identificación desde la propia computadora infectada. De esa manera, consigue pedirle al servicio de Google una autorización válida para usar una passkey, incluso sin permisos de administrador, sin que la víctima desbloquee el equipo y sin que intervenga durante el ataque.
En este mecanismo, el malware no descifra la clave privada. Consigue que la infraestructura creada para protegerla responda a una solicitud del atacante como si hubiera sido enviada por el usuario desde su computadora habitual.
Los tres ataques que ponen en riesgo las cuentas
La primera técnica, llamada Pass-ta-key, permite que el malware se haga pasar por el equipo autorizado. El atacante intenta ingresar a una cuenta y utiliza la computadora infectada para pedirle a Google la aprobación necesaria. Una vez recibida, la envía a la página elegida para completar el acceso.
Leé también: El cibercrimen ya es la tercera economía global y supera a todo el PBI de América Latina
El resultado depende de los controles de cada plataforma. Los sitios reciben un indicador que informa si la persona confirmó el ingreso con el PIN o con un dato biométrico. GitHub comprobó correctamente esa señal y rechazó el ataque durante las pruebas. eBay exigía la verificación, aceptó el acceso sin comprobar el indicador y corrigió el problema después de recibir el reporte.
La segunda variante, llamada Silver Pass-ta-key, manipula el registro de la computadora. El malware invalida la clave que Chrome utiliza para confirmar la identidad del usuario y obliga al navegador a configurar nuevamente el dispositivo. Durante ese proceso, el atacante registra una clave propia como si perteneciera a la víctima.
A partir de ese momento, Google acepta las solicitudes firmadas con esa clave como prueba de que el usuario desbloqueó el equipo. El ciberdelincuente puede ingresar desde otra computadora y deja de necesitar que el dispositivo original permanezca encendido o conectado.
Leé también: Las cinco prácticas de ciberseguridad para mantenerte a salvo de hackers y estafas en 2026
La tercera técnica, Golden Pass-ta-key, apunta a la clave maestra que Google Password Manager utiliza para proteger todas las passkeys sincronizadas con una cuenta. Los especialistas descubrieron inicialmente que Chrome mostraba esa clave como texto legible en sus registros internos. Google la retiró de esos registros después de recibir la notificación.
Unit 42 sostiene que la clave maestra todavía aparece durante unos instantes en la memoria de Chrome cuando un dispositivo se registra o recupera el acceso. Un malware podría extraerla en ese momento, descifrar las passkeys sincronizadas y utilizarlas desde otra computadora.
El riesgo también se extiende a las nuevas credenciales que el usuario agregue posteriormente. Según el informe, la implementación actual de Google carece de una opción para renovar o invalidar la clave maestra después de una filtración.
Los autores de la investigación afirmaron que las passkeys conservan ventajas importantes frente al phishing, la reutilización de contraseñas y las filtraciones de bases de datos, pero aclararon que la seguridad de las passkeys también depende de la protección de la computadora y de los controles aplicados por las páginas que las aceptan.
Leé también: El 90% de las empresas descubre sus fallas de seguridad cuando ya es demasiado tarde
En cuanto a cómo detectar una intrusión a las passkeys de un dispositivo, una solicitud inesperada o reiterada del PIN de recuperación de Google Password Manager durante un inicio de sesión habitual puede ser una señal de advertencia. Como los tres ataques requieren que el dispositivo ya esté infectado, la protección de la computadora frente al malware sigue siendo lo más importante.
Lee mas en: No tan seguras como se promocionaban: hackers consiguen vulnerar passkeys, la evolución de las contraseñas
