Las passkeys ganaron en concienciación. La recuperación de cuentas sigue siendo el problema sin resolver.
Las passkeys han tenido el éxito de marketing con el que sueña casi cualquier tecnología de seguridad: una concienciación de consumidores amplia y rápida. Según el informe del Estado de las Passkeys 2026 de la FIDO Alliance, resumido por Descope, la concienciación de los consumidores pasó del 75% en 2025 al 90% en 2026 —un cambio notable para una tecnología que apenas tenía reconocimiento de nombre generalizado tres años antes. Apple, Google y Microsoft han incorporado solicitudes de passkeys en sus flujos de inicio de sesión principales, y los grandes sitios, desde bancos hasta plataformas sociales, las ofrecen ahora como opción predeterminada.
Y, sin embargo, las implementaciones empresariales siguen estancándose en el mismo problema: qué pasa cuando alguien pierde el dispositivo en el que vive su passkey. En encuestas a organizaciones que citan obstáculos específicos para la adopción de passkeys, las preocupaciones sobre la pérdida de dispositivos y la recuperación de cuentas se sitúan entre las principales barreras, mencionadas por aproximadamente un tercio de las organizaciones. La tecnología que debía acabar con la contraseña tiene un proceso de recuperación que, en la mayoría de las implementaciones reales, sigue dependiendo silenciosamente de una.
Por qué la recuperación es estructuralmente distinta del inicio de sesión
Una passkey es un par de claves criptográficas vinculado a un dispositivo (o sincronizado en el ecosistema de dispositivos de un usuario mediante iCloud Keychain, Google Password Manager o similar). Esa vinculación es exactamente lo que hace que las passkeys sean resistentes al phishing —no hay ningún secreto compartido que robar, porque la clave privada nunca sale del dispositivo. Pero también significa que perder todos los dispositivos que contenían la clave, o no haberla sincronizado nunca, te deja fuera sin que haya ningún fallo en tus hábitos de seguridad.
La respuesta honesta de la industria, según el Centro Nacional de Ciberseguridad del Reino Unido (NCSC), es que la FIDO Alliance y la industria en general están trabajando activamente en el problema de la recuperación, pero que "aún no está aceptado ni establecido de forma eficaz" como un asunto resuelto. En la práctica, la mayoría de los servicios recurren exactamente a los mecanismos que las passkeys existen para reemplazar: un restablecimiento de contraseña, un código por SMS, una pregunta basada en conocimiento, o un agente de soporte que verifica la identidad manualmente. Cada una de esas vías alternativas reabre la superficie de ataque que las passkeys cerraron en el lado del inicio de sesión.
Los atacantes ya han cambiado de táctica
Esto no es teórico. El NCSC señala específicamente que los atacantes están desplazando su atención hacia las debilidades en la recuperación de cuentas y las solicitudes de restablecimiento, incluidas campañas de phishing dirigidas a códigos de recuperación en lugar de credenciales de inicio de sesión directamente. Es un movimiento predecible: si la puerta principal se vuelve mucho más difícil de forzar, los atacantes buscan la llave de repuesto escondida bajo el felpudo —y ahora mismo, el flujo de recuperación suele ser exactamente eso. Una llamada de ingeniería social a soporte técnico que convence a un agente de restablecer el acceso a la cuenta, o un código de recuperación obtenido por phishing, elude por completo la protección de la passkey sin tocarla jamás.
Cómo es realmente una buena recuperación
Las implementaciones que mejor funcionan comparten un patrón común, en lugar de depender de una única vía alternativa: múltiples passkeys registradas en múltiples dispositivos desde el principio (para que perder un dispositivo no signifique perder el acceso), una llave de seguridad física mantenida como respaldo explícito en lugar de una ocurrencia tardía, y, para las empresas, un flujo de recuperación mediado por un administrador que requiera verificación fuera de banda en lugar de un rápido correo de restablecimiento de contraseña. Las plataformas de consumo que sincronizan passkeys en un ecosistema de dispositivos —iCloud Keychain y Google Password Manager son las dos más grandes— reducen sustancialmente el riesgo de un único dispositivo, pero también significan que tu postura de recuperación es tan fuerte como la seguridad de tu cuenta de Apple ID o de Google, lo cual crea su propio punto único de fallo si esa cuenta no está reforzada.
Si has activado passkeys en algún sitio durante el último año, lo único concreto que vale la pena hacer esta semana es registrar una segunda passkey en un dispositivo separado, o añadir una llave de seguridad física como respaldo, en lugar de descubrir durante una pérdida real de dispositivo que tu única opción de recuperación es un flujo de restablecimiento de contraseña que creías haber retirado. Para los equipos de TI y seguridad que despliegan passkeys a gran escala, el flujo de recuperación merece la misma atención de modelado de amenazas que el flujo de inicio de sesión —ahora mismo, en la mayoría de las implementaciones, recibe solo una fracción de ella.