Passkeys vs contraseñas en 2026: qué significan los ataques Pass-ta-key para ti

Durante dos años el mensaje ha sido sencillo: las passkeys son el futuro y las contraseñas, el pasado. Entonces, en agosto de 2026, investigadores de seguridad demostraron que un malware podía secuestrar passkeys sincronizadas a través del gestor de contraseñas de Google. ¿Siguen siendo seguras las passkeys? Sí, en gran medida. Pero la historia tiene más matices que «passkeys bien, contraseñas mal», y cambia cómo deberías pensar sobre dónde viven tus credenciales.

Passkeys vs contraseñas: repaso en 60 segundos

Una contraseña es un secreto compartido. Tú la conoces, el sitio web guarda un hash de ella, y cualquiera que te engañe para escribirla en una página falsa — o la robe de una base de datos filtrada — puede usarla.

Una passkey es un par de claves criptográficas. El sitio conserva la mitad pública; la mitad privada nunca sale de tu dispositivo (o de tu baúl sincronizado). Al iniciar sesión, tu dispositivo firma un desafío vinculado al dominio del sitio real. Por eso las passkeys son:

• Resistentes al phishing — un dominio imitador recibe una firma que no puede usar.
• Únicas por sitio — no hay nada que reutilizar, así que una filtración no se propaga.
• Imposibles de adivinar — no hay ningún «Verano2026!» que probar por fuerza bruta.

Sobre el papel, eso supera a las contraseñas en todos los frentes. La trampa está en la palabra «dispositivo»: una passkey solo es tan segura como el software y el hardware que custodian la clave privada.

Qué demostraron realmente los ataques Pass-ta-key

El 4 de agosto de 2026, Unit 42 de Palo Alto Networks publicó una investigación — cubierta por BleepingComputer, The Hacker News, Malwarebytes y 9to5Google — que describe tres ataques, apodados «Pass-ta-key», contra passkeys sincronizadas mediante el gestor de contraseñas de Google en Chrome. Los tres parten de que el malware ya se está ejecutando en un PC con Windows con sesión iniciada. Desde ahí, el malware podía:

1. Obtener en silencio una aserción de inicio de sesión válida para una cuenta protegida con passkey, sin que el usuario tocara Windows Hello.
2. Instalar una clave de verificación controlada por el atacante, de modo que las futuras solicitudes de «confirma que eres tú» las respondiera el atacante.
3. Extraer el Security Domain Secret de 32 bytes que descifra las claves privadas de las passkeys sincronizadas — en la práctica, exportar todas las passkeys de la cuenta.

Nada de esto rompe la criptografía de las passkeys. Lo que rompe es la suposición de que el software circundante — el sistema operativo, el navegador y la capa de sincronización en la nube — mantendrá siempre la clave privada fuera de alcance.

Entonces, ¿siguen siendo las passkeys más seguras que las contraseñas?

Sí. Frente a los dos ataques que comprometen más cuentas cada año — el phishing y el credential stuffing a partir de filtraciones — las passkeys siguen siendo muchísimo mejores. Un atacante Pass-ta-key necesita primero malware en tu equipo; un atacante de contraseñas solo necesita un correo convincente.

Pero la investigación recuerda una regla antigua: una vez que un dispositivo está comprometido, nada en él es del todo seguro. Vale para contraseñas, cookies de sesión, apps de autenticación y passkeys por igual. La comparación honesta no es «passkeys vs contraseñas», sino «dispositivo limpio con un baúl bien diseñado» vs «dispositivo infectado con cualquier cosa».

Por qué importa el diseño del baúl

Dos de los tres ataques Pass-ta-key apuntan al mecanismo de sincronización: un secreto que, una vez extraído, lo abre todo. Es un argumento para guardar tus credenciales en un baúl de conocimiento cero, cifrado de extremo a extremo, donde:

• Los datos se cifran en tu dispositivo, con una clave derivada de algo que solo tú conoces, antes de sincronizarse.
• El proveedor no puede descifrar tu baúl, así que una intrusión en el servidor solo entrega texto cifrado.
• Desbloquear exige siempre tu PIN maestro o la biometría, con bloqueo automático para que un equipo desatendido no quede abierto.

DroidPass está construido exactamente así: un baúl AES-256 de conocimiento cero que guarda tus contraseñas, tarjetas, credenciales Wi-Fi, notas seguras, contactos y passkeys uno junto a otro, con desbloqueo por Face ID / Touch ID / huella y bloqueo automático en iPhone, iPad, Android y Mac.

Cinco pasos prácticos para esta semana

1. Mantén limpios tus dispositivos. Toda variante de Pass-ta-key empieza con malware. Instala las actualizaciones cuanto antes, no uses software pirateado y usa un antivirus de confianza en Windows.
2. Sigue usando passkeys donde te las ofrezcan. Eliminan el phishing y la reutilización de contraseñas, que es donde la mayoría de la gente realmente acaba hackeada.
3. Mantén la 2FA en cada cuenta que aún use contraseña. Un autenticador integrado que vive en el mismo baúl que el inicio de sesión lo hace muy fácil — consulta nuestra guía del autenticador de DroidPass.
4. Guarda las credenciales en un baúl dedicado de conocimiento cero en lugar del gestor integrado del navegador, para que un único secreto de sincronización no sea una llave maestra a toda tu vida.
5. Bloquea el baúl, no solo la pantalla. Configura un temporizador de bloqueo corto y exige biometría o tu PIN maestro para volver a abrirlo.

En resumen

Las passkeys no están rotas y no deberías dejar de usarlas. Lo que agosto de 2026 demostró es que dónde viven tus passkeys y contraseñas importa tanto como qué son. Combina passkeys resistentes al phishing con un dispositivo sin malware y un baúl cifrado que tú controlas, y estarás mejor protegido que la inmensa mayoría de los usuarios. Si todavía dudas de si un baúl merece la pena, empieza por por qué necesitas un gestor de contraseñas en 2026.