Experto en ciberseguridad descubrió cómo pueden hackear las contraseñas tipo passkeys

Las passkeys son un sistema de autenticación diseñado para reemplazar las contraseñas tradicionales y mejorar la seguridad digital.

A diferencia de los métodos convencionales, estas claves de acceso se generan de manera única para cada servicio y se almacenan en dispositivos como teléfonos o computadoras.

Su funcionamiento se basa en la criptografía de clave pública, lo que dificulta su robo o falsificación, ya que no requieren el ingreso manual de una clave secreta.

Este sistema ha sido promocionado como una alternativa más segura a las contraseñas convencionales, ya que minimiza los riesgos de ataques de phishing y evita la reutilización de contraseñas vulnerables.

Sin embargo, recientes hallazgos sugieren que no son completamente invulnerables.

Una nueva vulnerabilidad pone en duda su seguridad

A pesar de su nivel avanzado de protección, las passkeys no están exentas de riesgos.

Una investigación realizada por el experto en ciberseguridad Tobia Righi reveló que es posible engañar a los usuarios para que compartan involuntariamente sus credenciales con atacantes, utilizando la conectividad Bluetooth como un punto débil.

El ataque se basa en la proximidad. Si un cibercriminal se encuentra dentro del rango de alcance del Bluetooth de la víctima (generalmente menos de 100 metros), puede utilizar un dispositivo para interceptar la solicitud de autenticación y redirigirla a su propio equipo.

De esta manera, logra acceder a las cuentas de la víctima sin que esta lo perciba.

¿Cómo operan los hackers para vulnerar las passkeys?

El método descubierto por Righi se desarrolla en varios pasos:

1. La víctima accede a una página web controlada por el atacante, a menudo a través de un enlace engañoso.
2. En segundo plano, el atacante inicia una solicitud de autenticación WebAuthn en un sitio legítimo.
3. Se genera un enlace FIDO que es redirigido a la víctima.
4. El administrador de passkeys del usuario solicita su confirmación.
5. La víctima, sin sospechar, acepta la solicitud con un solo clic o reconocimiento facial.
6. El atacante obtiene acceso al sitio como si fuera la víctima.

Este proceso se aprovecha de la confianza del usuario en el sistema y de la facilidad con la que se aceptan solicitudes de autenticación sin una revisión exhaustiva.

¿Cómo protegerse de este tipo de ataques?

Si bien el ataque requiere que la víctima interactúe con una página maliciosa y que el atacante esté físicamente cerca, es una advertencia clara sobre la importancia de estar alerta.

Para reducir los riesgos, se recomienda:

• Verificar siempre el origen de los enlaces antes de hacer clic.
• Desactivar el Bluetooth cuando no sea necesario.
• Usar opciones de seguridad adicionales, como autenticación en dos pasos.
• Estar atento a solicitudes de autenticación inesperadas.

Las passkeys siguen siendo una alternativa más segura que las contraseñas tradicionales, pero este hallazgo demuestra que ningún sistema es infalible. La concienciación y la precaución siguen siendo claves para evitar ser víctima de ciberataques.