El phishing evoluciona. Lo que antes dependía sobre todo de engañar a la víctima para capturar credenciales, hoy puede incorporar técnicas más persistentes. Un caso descrito por investigadores, asociado a un kit de phishing passkeys, plantea un escenario especialmente preocupante: incluso tras un restablecimiento de contraseña, el atacante podría seguir teniendo una vía de acceso basada en una credencial registrada.
En este artículo explicamos, de forma comprensible, qué se ha descrito sobre el funcionamiento de esta herramienta, por qué el “reset” podría no ser suficiente y qué recomendaciones prácticas suelen encajar con el enfoque defensivo.
Qué es el “kit de phishing passkeys” y por qué preocupa
La información disponible sobre esta campaña proviene de un análisis basado en publicaciones del vendedor del propio kit, además de demostraciones referidas por el foro, sin que los investigadores hayan adquirido o ejecutado el malware.
Según ese análisis, el kit de phishing passkeys se presentaría como una forma avanzada de phishing pensada para mantener acceso a la cuenta de la víctima. El elemento distintivo es que el acceso podría sobrevivir a un restablecimiento de contraseña, un paso que normalmente corta la capacidad de un atacante que dependía de las credenciales robadas.
Cómo inicia el ataque: página de phishing y segundo navegador
El flujo inicial descrito parece “normal” a nivel de víctima. El objetivo es engañado para introducir sus datos en una página controlada por el atacante, que se muestra en el navegador de la persona.
Sin embargo, hay un giro: de manera invisible para la víctima, el atacante mantiene un entorno de navegador separado en su propio servidor. Las credenciales y respuestas de autenticación que introduce la víctima se reenvían a ese entorno, que es el que realmente responde y completa el proceso.
Para que funcione, el engaño tiene que ser exitoso. Es decir, el objetivo debe caer en la trampa y proporcionar la información requerida. Pero una vez que ocurre, el atacante ya no se limita a “capturar”, sino que puede intentar instalar un nuevo mecanismo de autenticación.
El componente clave: huella del dispositivo y credencial preconfigurada
Tras producirse la interacción del objetivo con la página de phishing, el kit aplicaría una huella del dispositivo al navegador de la víctima. A partir de ahí, cada interacción quedaría registrada.
El análisis indica que el malware incorporaría silenciosamente una passkey ya preparada (es decir, una credencial lista para usarse) y que todo lo necesario se enviaría al segundo entorno de navegador controlado por el atacante.
La lógica defensiva aquí es delicada: una passkey no depende directamente de la contraseña como tal. Si el atacante consigue que esa credencial quede registrada bajo la cuenta comprometida, la recuperación que solo “rompe” el valor de la contraseña puede no eliminar esa vía adicional.
Validación con el servicio del proveedor: el atacante se autentica “a través” de la víctima
En el escenario descrito, el proveedor del servicio solicitaría autenticación desde el lado del segundo entorno, pero usando la ruta intermediada por la página de phishing inicial. De este modo, el objetivo realiza la acción de autenticarse sin percatarse de que ese proceso puede incluir la autenticación de una credencial controlada por el atacante.
Este paso es importante: no se trata únicamente de robar datos “en bruto”. Se trata de conseguir que el propio flujo de login tenga como resultado la creación o inclusión de una credencial adicional que el atacante controla.
Por qué un restablecimiento de contraseña puede no bastar
Cuando alguien sospecha que su correo se ha visto comprometido por phishing, lo habitual es cambiar la contraseña y revocar sesiones activas. Ese enfoque suele funcionar cuando el atacante depende de tokens o cookies de sesión capturados durante el robo inicial.
El análisis recuerda que, en escenarios típicos, revocar sesiones y actualizar la contraseña corta el acceso del atacante cuando su entrada se limita a elementos derivados de la sesión o a credenciales que dependían del secreto modificado.
Pero el kit de phishing passkeys apuntaría a un problema distinto: si el atacante logra que la cuenta quede con una passkey nueva (una credencial asociada a la cuenta), entonces “probar otra manera” en el acceso futuro podría permitirle entrar sin conocer la contraseña original.
Recuperación y remediación: qué recomiendan normalmente los informes
El análisis al que se hace referencia incluiría indicadores de compromiso (IOCs) y recomendaciones de remediación. El mensaje central, aun con las limitaciones de conocimiento público del caso, es que restablecer la contraseña ya no debe considerarse la única medida cuando hay señales de compromiso persistente.
En un enfoque práctico, la idea es atacar todas las formas plausibles de acceso:
- Cambiar la contraseña igualmente, porque sigue siendo una medida base para cortar lo que dependa del secreto anterior.
- Revocar sesiones activas y cerrar accesos que puedan haber quedado habilitados.
- Revisar dispositivos y métodos de acceso en la cuenta, buscando señales de nuevas credenciales o configuraciones que el usuario no haya realizado.
- Comprobar conexiones y aplicaciones autorizadas que se hayan agregado después del incidente.
El punto crucial es que, si una passkey controlada por un atacante llega a asociarse a la cuenta, la respuesta debe contemplar la eliminación o invalidación de ese tipo de autenticación, no solo el cambio de contraseña.
Qué tan seguro es el caso: análisis basado en publicaciones
Conviene aclarar el alcance del conocimiento. Este resumen se basa en un análisis de investigadores sustentado en publicaciones del vendedor. Según lo mencionado, no hay suficiente información pública para afirmar todos los detalles con total certeza.
De hecho, se menciona que otras descripciones públicas del malware (en respuestas de asistentes o en recopilaciones) podrían no incluir referencias claras a passkeys. Esa discrepancia refuerza la necesidad de tratar el caso como una señal de lo que podría estar ocurriendo, más que como un manual completo verificado al 100%.
Aun así, incluso con esa cautela, el valor del informe es real: demuestra que la ingeniería social y la automatización de flujos de autenticación pueden volverse más sofisticadas, orientándose a persistencia.
Lecciones para usuarios y equipos: cómo reducir el riesgo
Más allá de este caso concreto, hay aprendizajes que aplican a muchos incidentes de phishing:
- Atención al flujo de autenticación: aunque la pantalla “parezca” legítima, revisa mensajes inesperados o pasos fuera de lo común.
- Reforzar la higiene de cuenta: revisa con frecuencia las opciones de seguridad, dispositivos conectados y métodos de inicio de sesión.
- Responder rápido: ante sospecha fundada, actúa de inmediato con cambio de contraseña, revocación de sesiones y revisión de accesos.
- Formación contra el phishing: una parte del éxito del atacante depende de que la víctima complete el proceso de autenticación.
Si tu organización gestiona cuentas de correo corporativas, vale la pena complementar con políticas que incluyan monitoreo de inicios de sesión anómalos y procesos de respuesta definidos.
Conclusión
El kit de phishing passkeys descrito en el análisis apunta a un escenario donde el restablecimiento de contraseña, por sí solo, podría no eliminar el acceso del atacante. El foco está en la persistencia mediante una credencial asociada a la cuenta, añadida de forma silenciosa durante el flujo engañoso.
La defensa, por tanto, debe ir más allá de “cambio de contraseña y ya”. Revisa sesiones, métodos de autenticación y dispositivos/conexiones autorizadas para asegurar que la cuenta no conserve una vía de acceso no prevista.
