Passkeys obligatorias: qué cambia cuando Apple y Google desplazan a las contraseñas

Se trata de un cambio obligatorio en la forma de entrar a cuentas: Google y Apple establecieron el 12 de marzo de 2026 como fecha límite para que plataformas financieras y de streaming implementen Passkeys y vayan retirando las contraseñas tradicionales, según comunicados de ambas empresas. Esta tecnología vincula la autenticación al hardware del dispositivo y utiliza claves criptográficas en lugar de passwords almacenadas en servidores, lo que promete menos fraude pero plantea preguntas sobre accesibilidad, respaldo y control de datos.

¿Qué son las Passkeys y por qué importan?

Las Passkeys funcionan con un par de claves criptográficas: una pública en el servidor y otra privada que nunca sale del dispositivo, siguiendo el estándar desarrollado por la Alianza FIDO y el W3C. El estándar usa algoritmos de curva elíptica para firmar autenticaciones, lo que eleva la dificultad de ataques por fuerza bruta según las especificaciones técnicas de FIDO. Además, la nota que analizamos indica que las pruebas de implementación mostraron una caída del 80% en phishing exitosos durante las fases de prueba (fuente: reportes técnicos de ciberseguridad citados en la nota). Vemos que, en términos de seguridad pura, pasar de contraseñas a llaves ligadas al dispositivo es un golazo; reduce vectores comunes como el robo de bases de datos y el intercambio de credenciales.

¿Cómo impacta esto en el mercado argentino?

Para bancos, billeteras y servicios de streaming que operan en Argentina, el cambio promete cumplir con estándares de autenticación fuerte sin depender de SMS, que han sido señalados como vulnerables a ataques de intercambio de SIM. Google, Apple, Amazon y Microsoft empujan el ecosistema hacia Passkeys y ofrecen sincronización mediante iCloud Keychain o el Gestor de Contraseñas de Google, lo que facilita migraciones y cambios de dispositivo. Sin embargo, la adopción real dependerá de la penetración de smartphones compatibles y de la capacidad de los organismos reguladores locales para exigir alternativas para quienes no usan biometría. Observamos también que la simplicidad que prometen las empresas no es garantía de inclusión: hay que medir disponibilidad geográfica de actualizaciones, cobertura de modelos y costos de reemplazo de equipos para usuarios vulnerables.

Riesgos reales y qué exigirle a las empresas

El principal beneficio de las Passkeys —menos phishing y contraseñas robadas— convive con riesgos operativos y de privacidad que no hay que minimizar. La sincronización en la nube es práctica pero obligará a reclamar transparencia: qué proveedores alojan metadatos, cómo se recuperan las llaves si se pierde el teléfono y cuáles son las alternativas para quienes rehúyen la biometría. La nota incluso menciona avances tecnológicos colaterales como dispositivos capaces de ejecutar modelos de IA de 120B parámetros sin conexión, lo que subraya que el poder de cómputo local crece y con él las responsabilidades sobre seguridad de hardware (fuente: texto de referencia). En línea con nuestra postura previa de reequilibrar lo digital y lo analógico, favorecemos que las empresas ofrezcan siempre un plan B —por ejemplo, opciones de recuperación presencial en sucursales o tokens físicos— y claridad en los términos de servicio.

Conclusión: avanzar, pero con reglas claras

Favorecemos que se adopten herramientas que reduzcan el fraude, pero no a costa de dejar fuera a sectores enteros o de transferir todos los riesgos al usuario. Pedimos transparencia sobre sincronización en nube, protocolos de recuperación y compatibilidad retroactiva; también exigimos alternativas no biométricas y campañas educativas claras. Si las empresas respetan esos requisitos, la transición a Passkeys puede ser un avance real para la seguridad cotidiana; si no, será una modernización que complica más de lo que ayuda. Nosotros vemos la tecnología como herramienta, no como imposición: bien implementada, suma; sin transparencia, no sirve.