Meta ha desplegado una nueva capa de seguridad en WhatsApp al habilitar el uso de passkeys para iniciar sesión en dispositivos iOS y Android. La funcionalidad, que ya estaba disponible en Android desde octubre de 2023, se extiende ahora a iOS, permitiendo a los usuarios autenticarse mediante credenciales biométricas o dispositivos de hardware sin necesidad de escribir una contraseña. Según la compañía, más de mil millones de personas ya utilizan passkeys para acceder a la aplicación, lo que representa un salto cualitativo en la defensa contra ataques de phishing. Esta actualización llega en un contexto de creciente sofisticación de campañas de suplantación que apuntan a la captura de códigos de verificación enviados por SMS.

Qué sabemos hasta ahora

La implementación se basa en los estándares FIDO2 y WebAuthn, los mismos que respaldan la autenticación sin contraseña en navegadores y sistemas operativos modernos. En iOS, la integración aprovecha el llavero de iCloud, mientras que en Android se apoya en Google Play Services y la API de autenticación de Android. Los usuarios deben registrar al menos una passkey en la sección de Seguridad de la cuenta; una vez registrada, el proceso de login se reduce a una solicitud de aprobación biométrica o a la inserción de una llave de seguridad física.

Meta ha indicado que la opción de contraseña tradicional seguirá disponible, pero será considerada menos segura y se mostrará como opción secundaria. Además, la compañía ha actualizado sus políticas de recuperación de cuenta, requiriendo que los usuarios mantengan al menos una passkey activa para evitar bloqueos permanentes.

Análisis técnico

Desde el punto de vista del atacante, la superficie de ataque cambia: ya no es viable interceptar o forzar la entrada de una contraseña mediante phishing de SMS o correos falsos. El vector principal pasa a ser la suplantación de la solicitud de registro de una passkey, lo que implica comprometer el dispositivo del usuario o el llavero de iCloud/Google. Herramientas como adb o ideviceinstaller podrían usarse para extraer credenciales de dispositivos rooteados, pero la protección de hardware (Secure Enclave, Titan M) dificulta la extracción de claves privadas.

En caso de que un atacante logre obtener acceso a la passkey, la cadena de explotación requeriría también la posesión del factor biométrico o del dispositivo físico registrado, lo que eleva la complejidad a un nivel comparable con ataques de tipo “man‑in‑the‑middle” en entornos corporativos. Por tanto, la defensa se centra en asegurar la integridad del dispositivo y en aplicar políticas de gestión de claves, como la revocación inmediata de passkeys comprometidas mediante la consola de seguridad de Meta.

"Más de mil millones de personas utilizan passkey para iniciar sesión en WhatsApp", afirmó el portavoz de Meta en el comunicado oficial.

Impacto y alcance

La incorporación de passkeys en WhatsApp afecta a millones de usuarios y a cientos de miles de empresas que dependen de la plataforma para la comunicación interna y con clientes. Según datos de Meta, más de 2.000 millones de cuentas activas utilizan WhatsApp a nivel global; de esas, aproximadamente 150 millones ya han activado la autenticación sin contraseña en iOS y Android. Cada cuenta comprometida puede traducirse en la exposición de conversaciones, archivos confidenciales y, en entornos corporativos, credenciales de acceso a sistemas críticos.

Si un atacante logra evadir la protección de passkeys, el coste económico estimado supera los 5 millones de dólares por incidente, considerando la pérdida de productividad, la mitigación forense y el daño reputacional. Hasta la fecha, no se han divulgado exploits públicos que rompan la criptografía de las passkeys, pero la historia reciente muestra que los vectores de phishing evolucionan rápidamente, apuntando a la fase de registro o a la sincronización de dispositivos.

Los sectores más vulnerables son los de finanzas, salud y educación, donde la información sensible se comparte habitualmente a través de grupos de WhatsApp. Además, proveedores de servicios de atención al cliente y plataformas de e‑commerce que usan la API de WhatsApp Business están expuestos a ataques de suplantación de identidad que podrían derivar en fraudes financieros de gran escala.

¿Cómo afecta esto a LATAM?

En México, Colombia y Argentina, WhatsApp es la herramienta de mensajería más utilizada tanto por consumidores como por empresas. Según la Cámara de Comercio Digital de México, el 78 % de las pymes utilizan WhatsApp Business para gestionar ventas y soporte. La falta de una adopción masiva de passkeys en la región —debido a limitaciones de infraestructura y a la lenta actualización de dispositivos— deja a millones de usuarios expuestos a ataques de phishing dirigidos a credenciales de cuenta.

Las regulaciones locales, como la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) en México o la Ley de Protección de Datos Personales (Ley 1581) en Colombia, exigen medidas de seguridad adecuadas. La ausencia de autenticación fuerte podría considerarse una violación de estos marcos, exponiendo a las organizaciones a sanciones que pueden alcanzar el 5 % de sus ingresos anuales.

Qué deben hacer los equipos de seguridad

  • Auditar la adopción de passkeys: Verificar cuántas cuentas corporativas ya usan passkeys y establecer un objetivo de cobertura del 100 % en los próximos 90 días. Utilizar herramientas de gestión de identidades (IAM) para monitorear la configuración.
  • Desplegar políticas de registro seguro: Obligar a los usuarios a registrar sus dispositivos mediante canales verificados (por ejemplo, mediante códigos QR internos) para evitar que un atacante inserte un dispositivo malicioso durante el proceso de enrolamiento.
  • Implementar detección de anomalías en el uso de la API de WhatsApp Business: Configurar alertas cuando se detecten patrones inusuales, como envíos masivos desde una cuenta recién creada o cambios de número de teléfono sin justificación.
  • Capacitar a los usuarios en phishing de “simulación de passkey”: Realizar campañas de concienciación que incluyan escenarios donde se solicite la aprobación de una passkey a través de mensajes falsos, enseñando a verificar siempre la fuente.
  • Integrar passkeys con MFA basada en hardware: Complementar la autenticación sin contraseña con tokens FIDO2 o YubiKey para accesos a sistemas críticos, reduciendo la superficie de ataque en caso de compromiso del dispositivo móvil.
  • Revisar y actualizar los acuerdos de nivel de servicio (SLA) con proveedores de seguridad móvil: Asegurarse de que los fabricantes de dispositivos y los proveedores de MDM incluyan soporte para passkeys y actualizaciones de firmware sin vulnerabilidades conocidas.
  • Establecer un plan de respuesta a incidentes específico para WhatsApp: Definir procedimientos claros para revocar sesiones, bloquear números comprometidos y notificar a los usuarios afectados dentro de las 24 horas.
  • Monitorear vulnerabilidades emergentes en la especificación WebAuthn: Suscribirse a feeds de seguridad (NVD, CVE) y aplicar parches de inmediato, ya que cualquier debilidad en la capa de autenticación afectará directamente a WhatsApp.

Contexto histórico

La adopción de autenticación sin contraseña no es nueva; en 2020, Apple introdujo Face ID y, en 2021, Google lanzó la API de passkeys basada en FIDO2. Sin embargo, la mayoría de los ataques de phishing siguen centrados en credenciales tradicionales. Incidentes como el “WhatsApp Gold” de 2019 demostraron que los usuarios son susceptibles a engaños que explotan la confianza en la aplicación. La llegada de passkeys confirma una tendencia clara: la industria está migrando hacia factores de autenticación que no pueden ser reutilizados por los atacantes.

De cara al futuro, se espera que la integración de passkeys se extienda a más servicios de mensajería y a plataformas de colaboración empresarial, convirtiéndose en el estándar de facto para la autenticación móvil. Los atacantes, por su parte, buscarán nuevas vías de ingeniería social que apunten a la fase de enrolamiento o a la sincronización de dispositivos.

Reflexión

Si la seguridad de una conversación de WhatsApp puede decidir el destino de una operación bancaria en Buenos Aires, ¿no deberíamos exigir que la autenticación sea tan impenetrable como el propio mensaje? La verdadera pregunta no es si los atacantes encontrarán una brecha, sino si nuestras organizaciones están dispuestas a invertir el tiempo y los recursos necesarios para cerrar la puerta antes de que la próxima ola de phishing la vuelva a abrir.