Durante más de sesenta años la contraseña ha sido el mecanismo de autenticación por defecto de la informática, y durante casi todo ese tiempo también ha sido su punto más débil. La mayoría de las brechas de seguridad que llegan a los titulares no empiezan con un ataque sofisticado a un sistema fortificado, sino con algo mucho más mundano: una credencial robada, reutilizada o adivinada.
La buena noticia es que la industria lleva años construyendo alternativas más sólidas. La autenticación multifactor (MFA) reduce drásticamente el riesgo de que una contraseña comprometida se traduzca en un acceso no autorizado, y las passkeys —credenciales basadas en el estándar FIDO2/WebAuthn— prometen algo aún más ambicioso: eliminar la contraseña por completo, junto con la clase entera de ataques que la rodean.
En este artículo explicamos por qué la contraseña falla, qué son y cómo se comparan los distintos factores de autenticación, qué hace especiales a las passkeys y cómo puede una organización trazar un camino realista hacia un modelo passwordless sin romper su operación.
El Problema de las Contraseñas
El defecto fundamental de la contraseña es que es un secreto compartido: el usuario lo conoce y el servidor lo almacena (idealmente en forma de hash). Cualquier punto donde ese secreto viaje, se teclee o se guarde es una oportunidad para robarlo. Sobre esa debilidad estructural se apilan varios problemas conocidos:
- check_circle Reutilización: el usuario medio gestiona decenas de cuentas y repite la misma clave en muchas. Una filtración en un servicio menor abre la puerta a todos los demás.
- check_circle Phishing: una página falsa convincente basta para que la víctima teclee su contraseña donde no debe. Ninguna política de complejidad protege contra un usuario que la entrega voluntariamente.
- check_circle Fuerza bruta y diccionario: contra hashes filtrados o formularios sin límite de intentos, el atacante prueba millones de combinaciones hasta acertar las claves débiles.
- check_circle Credential stuffing: con miles de millones de pares usuario/contraseña de filtraciones previas, los atacantes los prueban de forma automatizada en otros servicios aprovechando la reutilización.
- check_circle Filtraciones masivas: cada año se exponen bases de datos con cientos de millones de credenciales. Una contraseña que hoy es válida puede estar ya circulando en un volcado que aún no se ha hecho público.
El denominador común es que todos estos ataques explotan un secreto que se puede copiar. Por eso la defensa no consiste solo en tener contraseñas más largas, sino en cambiar de paradigma: añadir factores adicionales y, en última instancia, sustituir el secreto compartido por criptografía que no se pueda robar a distancia. Es la misma lógica de defensa en profundidad que aplicamos en toda nuestra estrategia de seguridad.
Los Tres Factores de Autenticación
Autenticar a alguien significa demostrar que es quien dice ser. La teoría clásica distingue tres categorías de prueba, y la fortaleza de un sistema depende de cuántas categorías independientes combina:
- check_circle Algo que sabes: contraseñas, PIN, respuestas a preguntas de seguridad. Es el factor más débil porque el conocimiento se puede transmitir, adivinar o robar.
- check_circle Algo que tienes: un teléfono, una app autenticadora, una llave de seguridad hardware. El atacante necesitaría el objeto físico o comprometer el dispositivo.
- check_circle Algo que eres: biometría como la huella dactilar o el reconocimiento facial. En la práctica se usa para desbloquear localmente un factor de posesión, no como secreto que viaja por la red.
La autenticación multifactor (MFA), a menudo llamada 2FA cuando son dos factores, exige combinar al menos dos categorías distintas. La clave está en la palabra distintas: pedir dos contraseñas no es MFA, porque ambas pertenecen a "algo que sabes" y comparten las mismas debilidades. Lo que aporta valor es cruzar categorías, de modo que un único tipo de compromiso no baste para el acceso.
MFA/2FA: Tipos y su Resistencia al Phishing
No todos los segundos factores ofrecen la misma protección. La diferencia crítica es si resisten o no el phishing, es decir, si un atacante que engaña al usuario para que interactúe con una página falsa puede quedarse igualmente con el acceso. Ordenados de menor a mayor solidez:
SMS OTP (código por mensaje). Es el más extendido y también el más débil. El código de un solo uso viaja por una red de telefonía que no fue diseñada para seguridad, es interceptable y, sobre todo, vulnerable al SIM swapping: el atacante convence a la operadora de portar el número a una SIM que controla y recibe todos los códigos. Además, un código SMS se puede introducir tan fácilmente en una página falsa como la propia contraseña. Sirve como mínimo, pero no debería ser el único segundo factor de un acceso importante.
TOTP (apps autenticadoras). Aplicaciones como Google Authenticator, Microsoft Authenticator o Aegis generan un código temporal de seis dígitos a partir de un secreto compartido y la hora actual. Es claramente mejor que el SMS porque el código nunca viaja por la red móvil y no hay número que secuestrar. Sin embargo, sigue siendo un secreto que el usuario puede teclear en una web fraudulenta, por lo que no es resistente al phishing en tiempo real.
Notificaciones push. En lugar de teclear un código, el usuario recibe una notificación en su móvil y aprueba con un toque. Es cómodo, pero introduce un riesgo propio: la fatiga de MFA (o MFA bombing), donde el atacante, ya en posesión de la contraseña, lanza peticiones repetidas hasta que el usuario aprueba una por cansancio o descuido. Las variantes con number matching mitigan el problema, pero no lo eliminan.
Llaves y credenciales FIDO2/WebAuthn. Aquí cambia la naturaleza del sistema. En lugar de un secreto compartido, se usa un par de claves criptográficas, y la autenticación está vinculada al dominio real del servicio. Aunque el usuario caiga en una página falsa, el navegador no firmará el reto para un dominio que no coincide, de modo que el ataque simplemente no funciona. Es el estándar de oro y la base tecnológica de las passkeys. Puedes profundizar en cómo se combaten estos engaños en nuestro artículo sobre phishing e ingeniería social.
Qué Son las Passkeys y Cómo Funcionan
Una passkey es una credencial FIDO2 basada en criptografía de clave pública. Cuando te registras en un servicio, tu dispositivo genera un par de claves: una clave privada que nunca sale del dispositivo (protegida por el hardware seguro y desbloqueada con tu biometría o PIN) y una clave pública que se entrega al servidor. El servidor guarda algo que, por sí solo, no sirve para suplantarte: la mitad pública del par.
El inicio de sesión es un proceso de reto-respuesta. El servidor envía un desafío aleatorio; el dispositivo lo firma con la clave privada tras el desbloqueo biométrico y devuelve la firma. El servidor la verifica con la clave pública que ya tenía. En ningún momento se transmite un secreto reutilizable: no hay nada que interceptar ni que robar de la base de datos del servicio, porque la clave privada jamás se comparte.
Además, cada passkey está vinculada al dominio para el que se creó. El navegador solo permite usarla en el origen legítimo, lo que hace que las passkeys sean imposibles de phishear: una web fraudulenta no puede provocar una firma válida para el dominio real. Esta propiedad, por sí sola, elimina la vía de ataque más rentable contra las credenciales.
Las passkeys se presentan en dos variantes según dónde vive la clave privada. Las sincronizadas se replican de forma cifrada entre los dispositivos del usuario a través de un llavero como iCloud Keychain o Google Password Manager, priorizando la comodidad y la recuperación. Las vinculadas al dispositivo (device-bound) o a una llave hardware como una YubiKey no salen nunca de ese soporte físico, lo que ofrece la máxima garantía para accesos críticos. El estándar y su ecosistema los coordina la FIDO Alliance.
La idea en una frase:
Si no hay un secreto compartido que teclear, no hay nada que un atacante pueda robar por phishing, filtrar de una base de datos o probar por fuerza bruta. Las passkeys no hacen las contraseñas más fuertes: las hacen innecesarias.
Las ventajas se acumulan: se elimina el phishing de credenciales, mejora la experiencia de usuario (un toque biométrico en lugar de recordar y teclear cadenas complejas) y desaparece la carga de gestionar, rotar y almacenar contraseñas. Para el equipo de seguridad, además, se reduce toda una familia de incidentes que hoy consumen la mayor parte del tiempo de respuesta.
Comparativa de Métodos MFA
La siguiente tabla resume cómo se comportan los principales métodos en los tres criterios que más importan al elegir: resistencia al phishing, experiencia de usuario y coste de despliegue.
| Método | Resistencia a phishing | Experiencia de usuario | Coste |
|---|---|---|---|
| Solo contraseña | Nula | Baja (recordar/teclear) | Muy bajo |
| SMS OTP | Débil (SIM swapping) | Media | Bajo-medio |
| TOTP (app) | Media (aún phishable) | Media | Bajo |
| Push notification | Media (riesgo MFA fatigue) | Alta | Medio |
| Passkey / FIDO2 (sync) | Alta (anti-phishing) | Muy alta (biometría) | Medio |
| Llave hardware (YubiKey) | Máxima | Alta | Medio-alto (hardware) |
El Camino Passwordless en la Empresa
Migrar una organización hacia un modelo sin contraseñas es un proceso por fases, no un interruptor que se activa de un día para otro. El punto de partida no admite discusión: MFA obligatorio ya, en todos los accesos y sin excepciones "temporales" que se eternizan. A partir de ahí, la migración a passkeys es progresiva, habilitándolas primero donde el soporte es maduro y ampliando la cobertura conforme las aplicaciones lo permiten.
La palanca principal es el SSO y el proveedor de identidad (IdP). Centralizar la autenticación en Microsoft Entra ID, Okta o Keycloak permite aplicar políticas de MFA y passkeys de forma homogénea a decenas de aplicaciones desde un único punto, en lugar de configurar cada sistema por separado. El IdP se convierte además en el lugar natural para aplicar acceso condicional según el riesgo de cada sesión.
Hay accesos donde el MFA resistente al phishing no es opcional, sino obligatorio: SSH a servidores, paneles de administración, VPN y sistemas de backup. Son precisamente los accesos cuya compromisión da al atacante las llaves del reino, y donde una llave hardware o una passkey device-bound aporta la garantía más alta. En la misma línea, conviene sacar los secretos de máquina de scripts y variables de entorno hacia un gestor dedicado, como explicamos en nuestra guía de gestión de secretos con Vault.
Todo esto encaja de forma natural en una arquitectura Zero Trust, donde no se confía por defecto en ninguna red ni dispositivo y la identidad se verifica de forma continua en cada acceso. Una identidad fuerte y resistente al phishing es el cimiento sobre el que se apoya el resto del modelo: sin ella, cualquier política de segmentación o de mínimo privilegio se derrumba en cuanto se roba una credencial. Lo desarrollamos en profundidad en la guía práctica de Zero Trust.
Errores Comunes a Evitar
Adoptar MFA es necesario, pero hacerlo a medias deja huecos que los atacantes conocen bien. Estos son los fallos que vemos con más frecuencia:
- arrow_right MFA solo en algunos sitios: proteger el correo pero dejar la VPN, el panel de hosting o el acceso SSH sin segundo factor. El atacante siempre entra por la puerta que quedó abierta.
- arrow_right SMS como único segundo factor en cuentas críticas: expone al SIM swapping y a la interceptación. Sirve como fallback, no como defensa principal.
- arrow_right Sin códigos de recuperación seguros: si el único dispositivo se pierde y no hay un método de recuperación protegido, se bloquea al usuario legítimo o se abre un atajo inseguro para "recuperar" la cuenta.
- arrow_right Ignorar la fatiga de MFA: permitir aprobaciones push ilimitadas sin number matching invita al MFA bombing. Limita los intentos y educa a los usuarios para rechazar peticiones inesperadas.
Preguntas Frecuentes
¿Qué diferencia hay entre un 2FA tradicional y una passkey?
Un 2FA tradicional (SMS, TOTP o push) añade un segundo secreto sobre la contraseña, y ese secreto todavía puede ser interceptado o introducido en una página falsa. Una passkey es una credencial FIDO2 basada en criptografía de clave pública, vinculada al dominio y sin ningún secreto compartido que robar, por lo que resiste el phishing incluso ante un usuario engañado.
¿Son seguras las passkeys sincronizadas en iCloud o Google?
Sí. Las passkeys sincronizadas se cifran de extremo a extremo dentro del llavero del proveedor y no se exponen a los sitios donde se usan. Para accesos de máxima criticidad puedes optar por passkeys vinculadas a un dispositivo o a una llave hardware (YubiKey), que nunca abandonan ese dispositivo físico.
¿Puedo eliminar por completo las contraseñas en mi empresa?
La eliminación total es un objetivo progresivo. Lo realista hoy es hacer MFA obligatorio en todos los accesos, activar passkeys allí donde el IdP y las aplicaciones lo soporten (Entra ID, Okta, Keycloak) y reservar las contraseñas como método de recuperación protegido. Con el tiempo, la mayoría de los inicios de sesión pasan a ser passwordless.
Conclusión
La contraseña no desaparecerá de la noche a la mañana, pero su papel como única barrera está agotado. El camino está claro y se recorre por etapas:
- arrow_right La contraseña es un secreto compartido vulnerable a reutilización, phishing, fuerza bruta, credential stuffing y filtraciones masivas. Endurecerla no elimina la clase de ataque.
- arrow_right El MFA reduce drásticamente el riesgo, pero no todos los factores son iguales: SMS es débil, TOTP y push son mejores, y solo FIDO2/WebAuthn resiste el phishing de verdad.
- arrow_right Las passkeys sustituyen el secreto compartido por criptografía de clave pública vinculada al dominio: sin nada que robar, con mejor experiencia de usuario y sin contraseñas que gestionar.
- arrow_right El camino empresarial es progresivo: MFA obligatorio ya, migración a passkeys vía SSO/IdP, protección reforzada de accesos críticos (SSH, paneles, VPN, backup) e integración en una arquitectura Zero Trust.
En EasyDataHost recomendamos y soportamos MFA en los accesos administrativos a nuestra infraestructura, con paneles y accesos protegidos para que la identidad sea el primer y más sólido control. Si quieres revisar cómo endurecer los accesos a tu plataforma, habla con nuestro equipo de seguridad para un análisis sin compromiso.