Las credenciales comprometidas representan la principal causa de ciberataque por segundo año consecutivo (41% de los casos), según se indica en la edición de 2025 del informe Active Adversary de Sophos. Además, según este estudio, las sofisticadas técnicas, tácticas y procedimientos (TTP) de los ciberatacantes en 2025 les permitirán burlar fácilmente los métodos de autenticación tradicionales. Por este motivo, es esencial que los usuarios y las empresas adopten métodos más sólidos para proteger sus datos contra el robo de credenciales.
Con ocasión del Día Mundial de la Contraseña, que se celebra el 1 de mayo, Sophos subraya los límites de la contraseña y de los métodos de autenticación basados en el conocimiento, prestando atención a tres aspectos clave para tener en cuenta:
1. Los límites de la protección basada en el conocimiento
Las soluciones de autenticación doble o multifactor (2FA/MFA) están muy extendidas. Sin embargo, al igual que la contraseña, estas capas adicionales de protección a menudo se basan en códigos secretos basados en el conocimiento que se comparte a través de SMS o aplicaciones de autenticación. Por desgracia, muchos de estos métodos siguen siendo vulnerables. Los cibercriminales disponen ahora de herramientas que, como evilginx2, facilitan eludir estas protecciones a través de la automatización de la suplantación de identidad o robando las cookies de sesión.
Esto significa que el camino de posponer constantemente el momento en el que las contraseñas queden obsoletas, mediante frágiles complementos, parece plagado de peligros. La realidad del panorama de las ciberamenazas debería empujar a las empresas hacia un cambio de paradigma que abandone el modelo de contraseñas y los secretos compartidos basados en el conocimiento.
2. WebAuthn y claves de acceso. ¿Hacia una autenticación multifactor más fuerte?
Para protegerse contra el phishing, el protocolo WebAuthn (que utiliza, en particular, claves de acceso o passkeys) cuenta con el respaldo de los expertos en ciberseguridad. Con este método, cuando se crea una cuenta, se genera un par único, público/privado, de claves cifradas. A continuación, éstas se almacenan localmente: en el servidor de la página web para la clave pública y en el terminal del usuario para la clave privada, junto con el nombre del sitio y el identificador de usuario.
Para conectarse, el usuario ya no necesita introducir una contraseña o un código secreto compartido por SMS o una aplicación de autenticación. En su lugar, el servidor envía una solicitud de autenticación digital que sólo puede resolverse si el usuario está en posesión física de un dispositivo y puede demostrar que es el propietario de la clave privada (mediante verificación biométrica, por ejemplo). Por tanto, la autenticación sigue basándose en dos factores, pero éstos no dependen de los conocimientos del usuario, sino de la posesión física del dispositivo y de las características biométricas del propio usuario. En principio, por tanto, no pueden robarse mediante métodos convencionales de suplantación de identidad.
Además, el proceso de autenticación incluye una comprobación bidireccional que permite al usuario verificar la identidad del servicio mediante el dominio de la página web, enviado cuando el servidor solicita la autenticación. A diferencia de los métodos que utilizan contraseñas y códigos secretos basados en el conocimiento, el usuario ya no es el único que debe demostrar su legitimidad.
3. Precauciones que deben tomarse para garantizar una autenticación robusta y simplificada
Este nuevo estándar sectorial, basado en la norma FIDO2, parece ofrecer una protección probada contra el phishing (principal causa de amenaza para el robo de credenciales), al mismo tiempo que simplifica la autenticación para los usuarios.
No obstante, aunque WebAuthn representa un gran paso hacia adelante, persisten varias vulnerabilidades, por lo que se impone la vigilancia:
- Es fundamental garantizar que el dispositivo o la nube donde se almacenan las claves sea seguro
- La transición satisfactoria a WebAuthn requiere la aceptación y adopción por parte de las empresas y departamentos
- El robo de cookies de sesión sigue siendo una forma de ataque que permitiría a los cibercriminales eludir esta protección
Es importante tener en cuenta que los delincuentes perfeccionan constantemente sus métodos de ciberataque. Por eso, adoptar estas tecnologías debería ser hoy una prioridad estratégica de ciberseguridad para las empresas.
Según Chester Wisniewski, Director, Global Field CISO de Sophos: «Tenemos que dejar de depender de las contraseñas y los secretos compartidos. Las claves de acceso o passkeys representan hoy la solución más sólida para construir un futuro sin contraseñas, phishing y, con suerte, compromiso a gran escala«.
