El Fraude AitM: Por Qué tus Nuevas ‘Passkeys’ No Frenan el Phishing
¿Qué pasó?
Las Passkeys (llaves de acceso biométricas sin contraseña) se vendieron como la solución definitiva contra el robo de credenciales, pero el cibercrimen ya ha encontrado la grieta en este 2026: el ataque Adversary-in-the-Middle (AitM). En lugar de intentar robar una contraseña que ya no existe, los atacantes envían un enlace fraudulento que dirige al empleado a un proxy inverso (una web intermedia invisible). El empleado usa su huella dactilar para iniciar sesión legítimamente en Microsoft o Google. La plataforma valida la Passkey y emite una “Cookie de Sesión”. El servidor del atacante intercepta esa cookie en pleno vuelo y la inyecta en su propio navegador.
Las Passkeys (llaves de acceso biométricas sin contraseña) se vendieron como la solución definitiva contra el robo de credenciales, pero el cibercrimen ya ha encontrado la grieta en este 2026: el ataque Adversary-in-the-Middle (AitM). En lugar de intentar robar una contraseña que ya no existe, los atacantes envían un enlace fraudulento que dirige al empleado a un proxy inverso (una web intermedia invisible). El empleado usa su huella dactilar para iniciar sesión legítimamente en Microsoft o Google. La plataforma valida la Passkey y emite una “Cookie de Sesión”. El servidor del atacante intercepta esa cookie en pleno vuelo y la inyecta en su propio navegador.
¿Por qué afecta a tu negocio?
Las PYMES han invertido capital en migrar a sistemas biométricos asumiendo que su perímetro estaba sellado. Sin embargo, con una cookie de sesión secuestrada, el ciberdelincuente obtiene un pase VIP directo a tu buzón de correo corporativo, a tu CRM y a tus bases de datos financieras sin necesidad de autenticarse, porque el sistema cree que es el empleado legítimo que acaba de poner su huella. Este secuestro de sesión es invisible para los antivirus tradicionales y permite a los atacantes orquestar fraudes de facturación o exfiltrar secretos industriales en cuestión de minutos, eludiendo por completo la costosa infraestructura Zero Trust de tu empresa.
¿Qué hacer hoy mismo?
Implementa Evaluación Continua de Acceso (CAE): Configura tu entorno cloud para que no confíe ciegamente en una cookie activa. El sistema debe revocar la sesión instantáneamente si detecta un cambio brusco de dirección IP o si el usuario intenta acceder desde un país inusual.Vinculación de Dispositivos (Device Binding): Utiliza tu plataforma de gestión móvil (MDM) para forzar que las plataformas corporativas solo acepten inicios de sesión (y cookies) provenientes de ordenadores físicos registrados y auditados previamente por la empresa.Claves de Hardware FIDO2 Avanzadas: Para los perfiles de alto riesgo (dirección y finanzas), exige el uso de llaves de seguridad físicas con protección contra phishing de origen, las cuales verifican criptográficamente que la URL del navegador coincide exactamente con el servidor legítimo antes de liberar la credencial.
No dejes que una simple cookie arruine tu inversión en biometría. Refuerza tus políticas de identidad solicitando nuestra [Enlace Interno: Auditoría de Protección contra Phishing AitM y Secuestro de Sesiones] y revisa las alertas técnicas en la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA).