La banca avanza hacia un futuro sin contraseñas. Las passkeys —credenciales vinculadas a dispositivos y protegidas, por ejemplo, con una huella dactilar— están ganando terreno: la FIDO Alliance calcula que ya hay más de 5.000 millones en uso y que más de tres cuartas partes de los consumidores del mundo han activado una en al menos una cuenta.

Su atractivo es evidente. Las contraseñas y otros datos que una persona debe recordar pueden robarse, adivinarse o conseguirse mediante ingeniería social. Una passkey reduce esa exposición y, además, simplifica el inicio de sesión. Para las entidades financieras, representa una mejora importante tanto en seguridad como en experiencia del cliente.

Sin embargo, la expansión de esta tecnología no ha eliminado el fraude. Según una investigación de Javelin, en 2025 se registraron apropiaciones de cuentas que afectaron a unos seis millones de consumidores en Estados Unidos, un 18 % más que el año anterior, con pérdidas superiores a los 15.000 millones de dólares. La Reserva Federal también informó de un aumento de estos incidentes entre 2023 y 2024.

Estas cifras no demuestran que las passkeys hayan fracasado. Más bien revelan que una autenticación sólida no puede proteger por sí sola todo el recorrido de una cuenta. Asegurar la puerta de entrada sirve de poco si un delincuente puede convencer a la entidad de que le entregue una nueva llave.

## En finanzas, el contexto importa tanto como la escala

Una investigación de Unit 42, el equipo de inteligencia de amenazas de Palo Alto Networks, describió pruebas de concepto en las que malware instalado en un dispositivo comprometido podía interferir con el uso o el registro de passkeys. Los escenarios dependían de que el dispositivo ya estuviera infectado y, en los casos más complejos, de combinaciones específicas de navegadores, sistemas operativos y configuraciones de seguridad.

Es importante poner estos hallazgos en contexto: no se trataba de romper la criptografía de las passkeys ni de encontrar un repositorio central con credenciales que pudieran sustraerse de una sola vez. Los ataques descritos requerían comprometer dispositivos individuales, algo que dificulta su ejecución a gran escala.

Aun así, en el sector financiero la dificultad de escalar un ataque no elimina el riesgo. Un solo incidente dirigido contra una cuenta de alto valor puede causar pérdidas importantes y dañar la reputación de una institución. Por eso, las investigaciones deben tomarse en serio sin confundir una prueba de concepto con una vulnerabilidad universal.

## La recuperación de cuentas sigue siendo un punto crítico

¿Qué ocurre cuando una persona pierde su teléfono o cambia de dispositivo? La recuperación debe ser sencilla para el cliente, pero también lo bastante rigurosa como para impedir que un atacante consiga una nueva credencial.

Si el proceso depende únicamente de un correo electrónico, un mensaje de texto o un PIN fácil de obtener, la seguridad de la passkey queda limitada por ese eslabón más débil. En la práctica, el atacante podría eludir la protección moderna aprovechando un método de recuperación mucho menos fiable.

La confianza debe establecerse desde el principio. Durante el registro, la entidad financiera verifica la identidad del cliente y la vincula a un registro de confianza. Si más adelante hay que recuperar la cuenta, el banco debería volver a esa fuente de referencia, en lugar de aceptar como prueba suficiente información que podría estar comprometida.

Por eso, la recuperación no es un detalle secundario que pueda resolverse cuando surge un problema. Su solidez depende de las decisiones tomadas desde el primer día, durante el proceso de incorporación del cliente.

## Autenticación y autorización son cosas distintas

La autenticación confirma que una persona —o una credencial asociada a ella— ha superado un control de acceso. La autorización determina si tiene permiso para realizar una acción concreta y si esa acción refleja realmente su intención.

Una passkey puede permitir que alguien inicie sesión de forma segura. Pero ese inicio de sesión no demuestra, por sí solo, que la persona haya querido añadir un beneficiario nuevo o transferir una suma considerable unos minutos después. Acceder a una cuenta y autorizar una operación financiera son decisiones diferentes.

Para gestionar esa diferencia, las entidades pueden aplicar autenticación reforzada cuando una acción lo justifique y tener en cuenta el contexto. Un inicio de sesión habitual para consultar el saldo puede requerir poca fricción adicional. En cambio, una transferencia inusual, la incorporación de un nuevo beneficiario o la recuperación de una cuenta podrían exigir una comprobación más estricta, basada en la identidad ya verificada por la entidad.

La protección debe corresponder al riesgo de cada acción. Añadir controles en cada paso perjudicaría la experiencia del cliente; no añadirlos cuando la operación es sensible puede dejar una brecha importante.

## Dar a las passkeys el papel que les corresponde

Las passkeys son una herramienta valiosa para modernizar la banca. Reducen la dependencia de secretos reutilizables y hacen más difícil que la ingeniería social permita robar credenciales. Pero no fueron diseñadas para resolver por sí solas todas las cuestiones relacionadas con la identidad, la recuperación de cuentas y la intención del usuario.

Las entidades financieras deben saber a quién se vinculó originalmente una credencial, mantener un proceso de recuperación fiable y distinguir entre acceder a una cuenta y autorizar una operación. Las passkeys pueden reforzar cada vez más la seguridad, pero la confianza también depende de cómo se implementan y de qué controles las rodean.

En definitiva, avanzar hacia una banca sin contraseñas es un paso importante, no una solución completa. La seguridad duradera exige proteger no solo la entrada a la cuenta, sino también todo lo que ocurre después.

from Latest from TechRadar https://ift.tt/rV9IxSJ
via IFTTT IA