Las filtraciones de datos personales y profesionales se han multiplicado en los últimos años, y los métodos de ataque evolucionan más rápido que la mayoría de los dispositivos de protección desplegados. El marco regulatorio europeo, impulsado por el RGPD, impone obligaciones estrictas en materia de protección de la información, pero la conformidad por sí sola no es suficiente para garantizar la seguridad real de los sistemas. Comprender dónde se encuentran las fallas actuales, especialmente en los mecanismos de autenticación y recuperación de cuentas, permite priorizar las acciones que reducen concretamente el riesgo.
Recuperación de cuentas: el eslabón débil de la seguridad de los datos en línea
La mayoría de las guías sobre ciberseguridad se centran en el fortalecimiento de la autenticación. Contraseña robusta, doble factor, claves de hardware: estas capas protegen el acceso principal. El problema se desplaza entonces a otro lugar, menos vigilado.
La recuperación de cuentas se considera ahora el punto débil principal de un dispositivo sin contraseña. Cuando un usuario pierde su dispositivo o su clave de acceso, el proceso de restauración a menudo se basa en canales menos seguros: enlace por correo electrónico, código SMS, pregunta secreta. Estos mecanismos de rescate anulan en parte los beneficios de una autenticación fuerte.
Varios retornos de campo en 2026 confirman esta fragilidad. Las organizaciones que despliegan passkeys en sus cuentas de alto riesgo descubren que el escenario de pérdida o reemplazo de dispositivo no ha sido suficientemente anticipado. El resultado: procedimientos de recuperación improvisados, a veces menos robustos que el antiguo sistema de contraseña que reemplazan.
Antes de reforzar la puerta de entrada, también es necesario auditar la puerta de servicio. La gestión de incidentes relacionados con la pérdida de identificadores merece tanta atención como la elección del protocolo de autenticación en sí. Para las empresas que desean acceder a la seguridad en Open Syd, este enfoque global constituye un requisito previo.
Passkeys y autenticación sin contraseña: lo que cambia la especificación WebAuthn Level 3
Las passkeys ya no solo sirven para reemplazar contraseñas. La especificación WebAuthn Level 3, llevada al estado de recomendación avanzada por el W3C el 20 de julio de 2026, introduce la derivación de claves para el cifrado de datos, no solo para la autenticación.
Concretamente, un identificador criptográfico almacenado en su dispositivo ahora puede servir para proteger archivos o intercambios cifrados, además de verificar su identidad al iniciar sesión. Esta convergencia entre autenticación y cifrado simplifica la arquitectura de seguridad tanto para los usuarios como para las empresas.
Sincronización de passkeys: un riesgo subestimado
La sincronización de passkeys entre dispositivos (teléfono, computadora, tableta) facilita el uso diario. También introduce un perímetro de ataque adicional. Si la cuenta en la nube que sincroniza sus claves de acceso se ve comprometida, todos sus identificadores también lo estarán.
El riesgo ya no se limita a la autenticación, sino que se extiende a la sincronización y recuperación de las passkeys. Los equipos de TI deben evaluar la robustez del proveedor de sincronización tanto como la del protocolo de autenticación.
Abandono progresivo del SMS como segundo factor en cuentas sensibles
La tendencia operativa más marcada en 2026 es la transición hacia métodos de autenticación sin contraseña en cuentas de alto riesgo. Las grandes organizaciones aceleran el despliegue de passkeys y claves de hardware en los accesos privilegiados, mientras que los métodos SMS y de voz son cada vez más considerados insuficientes para las cuentas sensibles.
El SMS sigue siendo vulnerable al SIM swapping (suplantación de tarjeta SIM) y a la interceptación. Para una cuenta bancaria, un acceso administrativo o un espacio de gestión de datos personales, este nivel de protección ya no se corresponde con las amenazas actuales.
- Las claves de hardware (tipo YubiKey) ofrecen una resistencia al phishing que el SMS no puede garantizar, ya que verifican el origen del sitio antes de responder a la solicitud de autenticación.
- Las passkeys integradas en los dispositivos (Face ID, huella digital) eliminan la entrada de código y reducen la superficie de ataque relacionada con la ingeniería social.
- Los códigos de un solo uso generados por aplicación (TOTP) siguen siendo un compromiso aceptable para cuentas de riesgo moderado, siempre que se proteja el secreto de generación.
La elección del segundo factor depende del nivel de riesgo de la cuenta protegida. Una cuenta de red social no requiere la misma rigurosidad que un acceso a los sistemas de información de una empresa.
Phishing resistente a las passkeys: los límites de la protección actual
Las passkeys a menudo se presentan como “resistentes al phishing”. Esta resistencia es real desde el punto de vista técnico: el protocolo WebAuthn verifica el dominio del sitio antes de activar la autenticación, lo que bloquea las páginas de inicio de sesión fraudulentas clásicas.
Resistente al phishing no significa compromiso imposible. Los ataques evolucionan. Los escenarios de elusión explotan las fases que preceden o siguen a la autenticación misma: redirección a un proxy en tiempo real, manipulación de la sesión después de iniciar sesión, o explotación de los procedimientos de recuperación mencionados anteriormente.
La formación de los usuarios sigue siendo un apalancamiento complementario. Incluso con una autenticación fuerte, un colaborador que transmite información sensible por un canal no seguro expone a la empresa. La seguridad de los datos en línea se basa en un conjunto de prácticas, no en una sola tecnología.
Lo que la formación cambia concretamente
Los programas de concienciación sobre amenazas cibernéticas producen resultados medibles cuando se repiten y contextualizan. Un ejercicio de simulación de phishing trimestral, adaptado a las herramientas realmente utilizadas por los equipos, reduce significativamente la tasa de clics en los enlaces fraudulentos.
- Simular ataques en los canales utilizados internamente (mensajería, herramientas colaborativas) permite identificar los reflejos a corregir.
- Explicar el funcionamiento concreto de las passkeys y del cifrado ayuda a los usuarios a entender por qué existen ciertos procedimientos.
- Documentar los procedimientos de reporte de incidentes acorta el tiempo de reacción en caso de compromiso.
La gestión de incidentes no se improvisa: un plan de respuesta probado regularmente marca la diferencia entre una filtración contenida y una crisis mayor.
El fortalecimiento de la seguridad de los datos en línea pasa hoy por tres frentes simultáneos: endurecer la autenticación con métodos resistentes al phishing, asegurar los procedimientos de recuperación de cuentas al mismo nivel que el acceso principal, y mantener una formación regular de los usuarios frente a amenazas que cambian de forma cada trimestre. Ninguno de estos tres frentes compensa la ausencia de los otros dos.
