Un investigador halla tres formas de robar passkeys con malware
Un informe de Unit 42 describe tres ataques, llamados Pass-ta-key, con los que un malware ya instalado puede tomar el control de cuentas protegidas con passkeys de Google en Chrome sobre Windows.
El investigador Arie Olshtein, de la firma de seguridad Unit 42, documentó tres técnicas capaces de vulnerar cuentas protegidas con passkeys, el sistema de acceso sin contraseña que reemplaza el usuario y clave por un par de llaves criptográficas. Olshtein bautizó al conjunto "Pass-ta-key" y lo detalló en un informe publicado a mediados de agosto de 2026. Los tres ataques apuntan puntualmente a las passkeys de Google cuando se sincronizan con Chrome en computadoras con Windows.
Una passkey funciona distinto a una contraseña: en lugar de un dato que hay que recordar o repetir, el sistema genera un par de claves, una pública que queda del lado del servicio y otra privada que se guarda en el dispositivo del usuario. No hay código para reenviar ni clave para filtrar en una base de datos. Sin embargo, según el informe de Olshtein, esa arquitectura tiene fisuras en cómo distintos servicios y navegadores la implementan en la práctica.
Tres formas de entrar sin la llave
El primer ataque hace que el malware instalado en el equipo se haga pasar por el dispositivo del usuario para iniciar sesión sin que haga falta desbloquear el teléfono con huella o reconocimiento facial. Esto es posible, según Olshtein, porque varios servicios no exigen una comprobación biométrica genuina antes de aceptar la sesión como válida.
En el segundo ataque, el malware falsifica la señal de que el dispositivo fue desbloqueado con biometría y registra, bajo su propio control, una clave nueva asociada a la cuenta. Con esa clave, un atacante puede entrar a una cuenta bien protegida desde su propia computadora, sin que el equipo original de la víctima esté siquiera encendido.
El boletín de Onda Corta
El tercer ataque, el que Olshtein califica como más grave, apunta a la clave maestra que da acceso a todas las passkeys guardadas por una persona: quien la roba no compromete una sola cuenta sino cualquier servicio protegido con ese sistema, sin importar si la passkey se creó antes o después del robo. Según el informe, esa clave maestra quedaba visible sin cifrar en los registros que Chrome genera para su propio funcionamiento interno. Google eliminó esa exposición después de recibir el reporte, pero Olshtein advierte que la clave puede seguir extrayéndose mientras el navegador la mantiene cargada en la memoria de la computadora.
Un requisito ineludible
Ninguno de los tres ataques funciona por sí solo: el prerrequisito, según el propio informe, es que el dispositivo ya esté infectado con malware antes de que pueda explotarse cualquiera de estas tres vías. Tampoco se trata de una falla en la criptografía de las passkeys, que Olshtein describe como sólida: los ataques aprovechan huecos en cómo se implementó el sistema en servicios y navegadores concretos, no en el diseño matemático de las llaves.
Las passkeys se impulsaron para reemplazar un método que arrastra fallas conocidas: las contraseñas más usadas siguen siendo variantes simples como "1234" o "123456", y su reutilización entre cuentas hace que una sola filtración exponga varios servicios a la vez. La verificación en dos pasos, pensada como parche, tampoco resolvió el problema de fondo: sigue siendo vulnerable a phishing, ingeniería social y técnicas como el SIM swapping.
A esto se suma otro obstáculo: cada empresa construyó su propio sistema de sincronización de passkeys, lo que fragmentó el ecosistema en compartimentos que no se comunican entre sí. William Brown, uno de los desarrolladores que participó en las primeras implementaciones del estándar, calificó esa fragmentación como "un sueño roto". Para resolverla, la FIDO Alliance presentó hace un par de años el Credential Exchange Protocol (CXP), un protocolo pensado para que una passkey pueda migrar de una plataforma a otra sin perderse en el camino.
El boletín de Onda Corta