Passkeys 2026: Detenga el phishing reemplazando los inicios de sesión con contraseña

TL;DR: En passkeys 2026, la idea es simple: no se puede robar una contraseña que no existe. Las passkeys (basadas en FIDO2/WebAuthn) reducen drásticamente el phishing y el credential stuffing porque no hay un secreto reutilizable que escribir en un sitio falso.

Pero no se ilusione. Las passkeys ayudan mucho, pero no lo resuelven todo. Si su computadora está infectada o le roban el token de sesión, los delincuentes aún pueden entrar como si fueran los dueños. Siga leyendo y le diré primero qué no hacer (mi parte favorita) y luego qué funciona de verdad para las pequeñas empresas del Condado de Palm Beach.

Passkeys 2026 y prevención de phishing: por qué las contraseñas siguen fallando

Veo este mismo problema exactamente tres veces por semana. Alguien llama desesperado porque le secuestraron el correo, “actualizaron” facturas y ahora intenta explicarle a un proveedor por qué el pago se fue a una cuenta bancaria nueva. Eso es toma de control de cuenta y a menudo termina en business email compromise (BEC).

Qué está haciendo realmente el phishing (y por qué funciona)

El phishing no es magia. Es solo una página de inicio de sesión falsa con buen peinado. Usted escribe su contraseña, el atacante la captura y luego la prueba en todas partes, porque la gente reutiliza contraseñas como si todavía estuviéramos en la era de Windows XP y todos estuviéramos sincronizando MP3 con un iPod de los primeros.

• Robo de credenciales: su contraseña se captura en una página falsa.
• Credential stuffing: los atacantes prueban esa misma contraseña en Microsoft 365, Google Workspace, portales bancarios, nómina y cualquier otra cosa que respire.
• Toma de control de cuenta: una vez dentro, configuran reglas de reenvío, crean reglas de bandeja de entrada y saquean su negocio en silencio como un ladrón con portapapeles.

Si está pensando: “Pero nosotros tenemos contraseñas complejas”, déjeme detenerle ahí mismo. Las contraseñas complejas igual se escriben en sitios web falsos. Una llave complicada no ayuda si usted mismo se la entrega al ladrón.

Qué son las passkeys (FIDO2/WebAuthn) y por qué son diferentes

Las passkeys son autenticación sin contraseña basada en estándares llamados FIDO2 y WebAuthn. Esa es la explicación correcta y aburrida. Aquí va la práctica: una passkey es un método de inicio de sesión que usa un par de claves criptográficas. La clave privada se queda en su dispositivo. El sitio web solo recibe la clave pública.

Por qué las passkeys detienen el phishing (la mayoría de las veces)

Con passkeys, no hay contraseña que escribir en una página falsa. Mejor aún: las passkeys están diseñadas para estar vinculadas al sitio legítimo (el dominio real). Así que cuando un estafador le envía a “micros0ft-login.example” (qué creativo), la passkey no autenticará en el lugar equivocado.

Piénselo así: las contraseñas son como escribir el código del garaje en una nota adhesiva y pegarla en el parachoques. Las passkeys se parecen más a un control/llave inteligente que solo funciona con su auto. Puede apuntarlo a otro auto todo el día. No pasa nada.

Passkeys vs “códigos 2FA” (lo que la gente todavía sigue escribiendo en estafas)

La autenticación de dos factores (2FA) tradicional con códigos por SMS o códigos de una app es mejor que nada, pero sigue siendo algo que pueden engañarle para que lo escriba en un sitio falso. Los atacantes usan kits de phishing “en tiempo real” que piden su contraseña y su código 2FA, y luego inician sesión inmediatamente como usted.

Las passkeys son una alternativa sólida a la autenticación de dos factores porque la aprobación ocurre localmente (biometría o desbloqueo del dispositivo) y la respuesta criptográfica no es un código reutilizable. Menos tecleo. Menos robo.

Dónde más ayudan las passkeys: correo, Microsoft 365/Google Workspace y portales

Si usted dirige una pequeña empresa en el Condado de Palm Beach, su correo electrónico es básicamente su llave maestra. Si los atacantes obtienen acceso al correo, restablecen otras contraseñas, interceptan facturas y suplantan al personal. Es la versión digital de dejar el VCR parpadeando 12:00 para siempre. Parece inofensivo hasta que deja de serlo.

Correo y suites de productividad (alto impacto)

• Microsoft 365: reducir inicios de sesión con contraseña ayuda a disminuir tomas de control de cuenta e intentos de BEC.
• Google Workspace: misma historia. El compromiso del correo suele ser la primera ficha de dominó.

Si quiere lectura oficial (para que no tenga que creerle a un técnico de reparación veterano), empiece aquí: Soporte de Microsoft: iniciar sesión con una passkey.

Portales bancarios y de proveedores (cuando lo admiten)

Algunos portales bancarios y de proveedores admiten passkeys; otros todavía actúan como si fuera 2006 y todos estuviéramos usando preguntas de seguridad como “apellido de soltera de la madre” (que básicamente es información pública si ha vivido en el mismo condado el tiempo suficiente). Donde haya passkeys disponibles, úselas. Donde no las haya, refuerce con MFA sólido y procesos de aprobación estrictos.

Dónde las passkeys NO le salvan (así que no se confíe)

Mire, no voy a endulzarlo. Las passkeys son excelentes, pero no le vuelven a prueba de balas.

Robo de token de sesión: el problema de “ya está conectado”

Si un malware roba las cookies o tokens de sesión de su navegador, el atacante puede no necesitar su contraseña ni su passkey. Simplemente reutiliza la sesión como si encontrara su pestaña abierta en un diner y se sentara en su mesa.

Por eso la seguridad de endpoints y el parcheo siguen importando. Si su equipo está comprometido, el método de inicio de sesión más sofisticado del mundo no mantendrá sus cuentas limpias.

Si sospecha una infección, empiece con eliminación profesional de virus y limpieza de malware antes de “mejorar la seguridad”. De lo contrario, está instalando un cerrojo nuevo en una puerta que ya se salió de las bisagras.

Infostealers y malware de acceso remoto

El malware tipo infostealer apunta a contraseñas guardadas, cookies y, a veces, incluso intenta secuestrar flujos de autenticación. Las herramientas de acceso remoto (las maliciosas) pueden permitir que los atacantes operen su computadora como si estuvieran sentados en su silla. Las passkeys reducen el robo de contraseñas, pero no curan el malware.

Para educación continua sobre cómo evolucionan estas estafas, Malwarebytes tiene artículos sólidos: Recursos de Malwarebytes sobre phishing y robo de cuentas.

Malas prácticas de recuperación: la puerta trasera que olvidó

Esto es lo que pasa cuando se ignora la seguridad de recuperación: implementa passkeys, pero deja el restablecimiento de contraseña configurado como “enviar un enlace al mismo correo comprometido”. O permite que la gente recupere cuentas usando SMS débil en números personales que cambian cada dos semanas.

Las passkeys son tan fuertes como su plan de recuperación. Punto.

Implementación de autenticación sin contraseña para PYMES del Condado de Palm Beach (aburrido, pero funciona)

Ahora viene la parte que todos quieren saltarse: la planificación. No lo haga. Implementar passkeys sin políticas es como cambiar el motor de un auto sin etiquetar las mangueras. Va a funcionar… hasta que deje de hacerlo.

Paso 1: Defina su política (quién, dónde y qué seguirá permitiendo)

• Empiece con las cuentas de administrador (administradores de Microsoft 365/Google Workspace, administradores bancarios, administradores de nómina). Esas son las joyas de la corona.
• Decida si las contraseñas seguirán permitidas como respaldo. Muchas empresas las mantienen temporalmente por compatibilidad y luego las eliminan gradualmente.
• Exija MFA resistente al phishing donde no se admitan passkeys. No “opcional”, no “después”.

Si quiere una validación sensata de políticas y riesgos, para eso están exactamente nuestros servicios de ciberseguridad administrada para pequeñas empresas. Sin magia, solo menos sorpresas.

Paso 2: Verifique la preparación de los dispositivos (y deje de mezclar chatarra)

Las passkeys son autenticación basada en dispositivos. Eso significa que su experiencia de inicio de sesión depende de los dispositivos que su personal realmente usa.

• Windows 10 y Windows 11 pueden usar navegadores modernos y funciones de seguridad, pero aun así deben estar actualizados y administrados.
• macOS generalmente maneja bien las passkeys cuando se mantiene al día.
• iOS y Android pueden almacenar passkeys y aprobar inicios de sesión, pero necesita un plan para teléfonos perdidos.

Qué no hacer: permitir que el personal “use lo que sea” sin bloqueo de pantalla, sin cifrado del dispositivo y sin idea de dónde están iniciadas sus cuentas. Eso no es una estrategia de seguridad. Eso es pensamiento mágico.

Paso 3: Elija su enfoque de almacenamiento de passkeys (y manténgalo simple)

La mayoría de los empleados usará passkeys almacenadas en su teléfono o computadora, protegidas por un PIN o biometría. Está bien. Lo importante es la consistencia y la recuperación.

• Fomente un dispositivo principal por usuario para aprobaciones.
• Tenga un método secundario (otro dispositivo o una llave de seguridad de hardware) para bloqueos.

Las llaves de seguridad de hardware (llaves FIDO2) pueden ser una excelente opción para ejecutivos, equipos de finanzas y administradores. No son tendencia. No son llamativas. Solo confiables, como un microondas que solo tiene dos botones y aun así dura más que el sofisticado.

Paso 4: Planifique la recuperación como si de verdad quisiera seguir en el negocio

Teléfono perdido. Laptop reemplazada. Un empleado renuncia. Estos no son eventos raros. Son un martes cualquiera.

• Exija al menos dos opciones de recuperación para cada cuenta crítica (dispositivo secundario, llave de seguridad, recuperación asistida por un administrador).
• Documente quién puede aprobar la recuperación y cómo se verifica la identidad.
• Elimine el acceso de inmediato cuando el personal se vaya (sin “luego lo hacemos”).

Y como tengo que decirlo todas las semanas: Si no tiene un respaldo, no tiene datos. Solo los está “prestando”. Si una toma de control o un evento de malware se convierte en tiempo de inactividad, querrá tener ya implementados respaldos de nivel empresarial y planificación de recuperación ante desastres.

Paso 5: Capacite a los empleados (sí, incluso a los de “yo no soy de computadoras”)

Las passkeys reducen el phishing, pero no eliminan la creatividad humana. La gente igual hace clic. Igual aprueba cosas. Igual se apura.

Dé al personal una lista corta que quepa en una sola pantalla:

• No apruebe solicitudes de inicio de sesión inesperadas. Si usted no lo inició, rechácelo.
• No “arregle” problemas de inicio de sesión desactivando la seguridad. Llame a TI.
• Reporte de inmediato correos extraños sobre cambios de facturas y nuevos datos bancarios.

Además, enseñe al equipo de finanzas el hábito aburrido pero efectivo: verificar cambios de pago por un canal alterno (llamar a un número conocido, no al que viene en el correo). Esto detiene una gran parte de las estafas BEC.

Protección contra toma de control de cuentas en 2026: la lista de passkeys en la que sí confío

No necesita lo más nuevo. Necesita lo que funciona. Aquí está la lista de “funciona”:

Línea base mínima (la mayoría de las PYMES)

• Habilite passkeys donde se admitan para correo y cuentas principales.
• Mantenga MFA sólido para todo lo que aún no pueda usar passkeys.
• Aplique parches a Windows 10/11 y a los navegadores con regularidad.
• Use protección de endpoints confiable y supervise alertas.

Mejor línea base (si maneja dinero, datos de salud o muchos archivos de clientes)

• Use llaves de seguridad de hardware para administradores y finanzas.
• Refuerce la recuperación y exija aprobación de un administrador para restablecimientos sensibles.
• Audite reglas del buzón y reenvíos con regularidad.
• Implemente respaldos con restauraciones probadas (probadas significa que realmente restauró).

Si le atacan y faltan datos, no se ponga en modo vaquero con herramientas aleatorias descargadas. Pida ayuda. Ofrecemos servicios de recuperación de datos, y preferiría hablar con usted antes de que un empleado bien intencionado “intente una cosa más” y convierta algo recuperable en cenizas.

Ciberseguridad para PYMES en Palm Beach: lo que estamos viendo en West Palm Beach y alrededores

Para negocios locales en West Palm Beach, Palm Beach Gardens, Lake Worth Beach, Wellington, Royal Palm Beach, Jupiter y Boca Raton, el patrón es el mismo: los atacantes no “hackean” como en las películas. Inician sesión. Reutilizan contraseñas. Hacen phishing. Explotan recuperaciones débiles. Luego lo monetizan con fraude de facturas.

Las passkeys en 2026 son una de las formas más limpias de reducir ese riesgo rápidamente, especialmente cuando se combinan con controles sensatos y un poco de capacitación al personal (sí, ya sé, a nadie le gusta la capacitación).