Las passkeys llegaron prometiendo que sin contraseña no hay filtraciones. Lo que un investigador de Unit 42 de Palo Alto Networks acaba de publicar demuestra que hay un matiz importante en esa promesa: si un malware ya está instalado en tu ordenador, las passkeys de Google sincronizadas en Chrome tienen tres talones de Aquiles. El investigador Arie Olshtein los llama «Pass-ta-key» y su informe lleva la incomodidad de que el más serio de los tres implica que Google llegó a exponer la clave maestra que descifra todas las passkeys de un usuario en los registros internos de Chrome.Publicado el 15 de agosto de 2026.Tres ataques, tres niveles de gravedadEl prerrequisito para todos es el mismo: tu dispositivo debe estar ya infectado por malware. Sin esa infección previa, estos ataques no funcionan. Olshtein lo deja muy claro en el informe. No son ataques remotos — son extensiones de lo que un malware ya instalado puede hacer.Ataque 1 — Suplantación de dispositivo. El malware se hace pasar por el dispositivo del usuario para iniciar sesión sin necesidad de desbloquear el móvil, sin huella dactilar ni reconocimiento facial. Funciona porque muchos servicios web no comprueban de forma estricta si la verificación biométrica del usuario realmente ocurrió. El sistema simplemente acepta la petición de autenticación como válida.Ataque 2 — Registro de clave bajo control del atacante. El malware engaña al sistema para que acepte que se ha realizado una verificación biométrica del dispositivo, y aprovecha esa ventana para registrar una clave pública nueva bajo control del atacante. Con esa clave, el atacante puede iniciar sesión en la cuenta afectada desde su propio equipo — sin que el dispositivo de la víctima esté encendido.Ataque 3 — Robo de la clave maestra (el más serio). Olshtein descubrió que Google exponía la clave maestra que descifra todas las passkeys del usuario en los registros de diagnóstico internos de Chrome. Si el malware accede a esos logs, obtiene la clave que desbloquea no solo una passkey sino el conjunto completo de credenciales del usuario, presentes y futuras. Google retiró la clave de los logs de diagnóstico tras recibir el aviso — pero Olshtein señala que sigue siendo accesible en la memoria del navegador.Hay que insistir: estos ataques no rompen la criptografía de las passkeys. El estándar criptográfico sigue siendo sólido. Lo que explotan son vulnerabilidades en cómo se implementan en servicios concretos y en cómo Chrome gestiona los datos de diagnóstico.Por qué passkeys siguen siendo mejor que las contraseñasLas contraseñas más usadas en España siguen siendo «123456», «admin» y «12345678» — idénticas a las de México, China y los Emiratos. Según el informe Verizon DBIR, el 80% de las brechas relacionadas con credenciales se deben a contraseñas reutilizadas o débiles. Las passkeys eliminan ese problema en origen: no hay contraseña que robar, reutilizar o filtrar.El problema que el informe de Unit 42 documenta no es que las passkeys sean inseguras frente a un atacante externo — es que si un malware ya tiene acceso a tu sistema, puede explotar las implementaciones específicas de los servicios que no verifican rigurosamente la autenticación biométrica. El vector de ataque previo (el malware) es el problema real; las passkeys son solo la superficie que ese malware intenta explotar.El NCSC británico recomendó formalmente en abril de 2026 cambiar a passkeys siempre que sea posible, añadiendo que siguen siendo significativamente más seguras que contraseñas con SMS-2FA. Esa recomendación no cambia con este informe — simplemente añade matices.El ecosistema de passkeys sigue siendo un jardín amuralladoEl informe de Olshtein no es la primera señal de que el ecosistema de passkeys necesita madurar. El problema de la fragmentación es real: cada gran empresa tecnológica usa su propia sincronización (iCloud Keychain para Apple, Google Password Manager para Chrome/Android), y mover passkeys entre ecosistemas seguía siendo imposible hasta que la FIDO Alliance presentó el Credential Exchange Protocol para solucionar exactamente ese problema.William Brown, uno de los desarrolladores que impulsó el estándar WebAuthn, llegó a calificar la deriva del ecosistema como «un sueño roto» precisamente por ese jardín amurallado: las passkeys que creas en Apple no puedes usarlas fácilmente en Android, y viceversa. iOS 27 está introduciendo importación y exportación de passkeys entre ecosistemas, lo que iría resolviendo ese problema.Los gestores de contraseñas como Bitwarden y 1Password ya soportan passkeys desde 2024. Eso añade una capa de portabilidad que mitiga el bloqueo de plataforma — si tienes tus passkeys en Bitwarden, puedes usarlas en cualquier dispositivo.Mi valoraciónLo que más me convence de la investigación de Olshtein es que identifica problemas de implementación concretos y accionables — no dice que las passkeys estén rotas, sino que algunos servicios no comprueban correctamente si la verificación biométrica ocurrió, y que Chrome expone datos sensibles en logs de diagnóstico. Ambas cosas tienen solución técnica y Google ya retiró el log problemático.Lo que más me preocupa es la asimetría de velocidades. Los investigadores descubren estas vulnerabilidades de implementación, las empresas las corrigen, y la curva de adopción de passkeys avanza. Pero mientras tanto, los usuarios que ya han migrado a passkeys pueden creer que están completamente protegidos, cuando la protección real depende de que ningún malware llegue a su sistema — lo cual requiere todas las prácticas de seguridad de siempre.La pregunta a 12 meses es si Apple, Google y Microsoft adoptan el Credential Exchange Protocol de FIDO Alliance para hacer portables las passkeys entre ecosistemas, reduciendo el argumento del «jardín amurallado» que todavía frena la adopción masiva.La noticia Passkeys: un investigador descubrió 3 formas de saltárselas si ya tienes malware en el dispositivo fue publicada originalmente en Wwwhatsnew.com por Natalia Polo.