Pérdida del dispositivo: passkeys sincronizadas vs MFA romantizada

La objeción más habitual a las passkeys es sencilla: «Si pierdo el teléfono, lo pierdo todo». Suena definitiva. A menudo compara un despliegue real de passkeys con una MFA idealizada que casi nadie practica.

El documento del NCSC sobre credenciales tradicionales y FIDO2 para uso personal recorre todo el ciclo de vida—incluida la recuperación tras perder un dispositivo—y concluye que las passkeys sincronizadas son al menos tan disponibles como la MFA real, y mucho más difíciles de phishar.

El miedo: «Si pierdo el teléfono, lo pierdo todo»

Perder el teléfono es real: robo, pantalla muerta, dispositivo olvidado en un taxi. Como las passkeys viven en autenticadores, la siguiente pregunta es legítima.

La pregunta correcta no es «¿puede un sistema sobrevivir a perder todas las copias de todos los secretos?». Es «¿qué ocurre cuando desaparece un dispositivo, y cómo se compara con la MFA que ya uso?»

Comparar con una MFA idealizada que la gente no practica

Las críticas suelen enfrentar las passkeys a una MFA de ensueño: contraseña larga y única sin reutilización, token TOTP hardware que nunca se pierde, higiene SIM perfecta y un flujo de recuperación que nunca hace falta. Casi nadie vive ahí.

En la práctica, mucha gente reutiliza contraseñas, las guarda en el mismo cofre en la nube que usaría para passkeys, recibe SMS o aprobaciones push en el teléfono que teme perder y cae en «olvidé la contraseña» por correo. Esa es la base justa—no una MFA de museo.

Con una comparación equitativa, la disponibilidad de las passkeys sincronizadas deja de parecer especialmente frágil.

Cómo se recuperan las passkeys sincronizadas tras perder un dispositivo

Para el NCSC, una passkey es una credencial FIDO2 que se sincroniza mediante un tejido de sync (Apple, Google, Microsoft o un gestor compatible). Si ya tienes otro portátil, tableta o teléfono inscrito, perder un dispositivo no borra la credencial.

Si el teléfono perdido era el único inscrito, recuperas iniciando sesión en el sync en un dispositivo de sustitución y restaurando el cofre—el mismo patrón que ya usan los gestores de contraseñas. No quedas bloqueado para siempre porque desaparezca un solo handset.

La idea central: un dispositivo perdido no es «todo», mientras la cuenta de sync siga accesible y protegida.

Passkeys de un solo dispositivo / tokens FIDO: registra una copia de seguridad antes de necesitarla

Las credenciales ligadas a un dispositivo son distintas. Una passkey de un solo dispositivo o una llave de seguridad FIDO no se sincroniza. Si es el único autenticador registrado, perderlo implica recuperación de cuenta en cada servicio—o bloqueo permanente si la recuperación es débil.

La regla práctica es aburrida y eficaz: registra un segundo autenticador mientras todo sigue funcionando. Otra llave de seguridad, una segunda credencial ligada a un dispositivo, o una passkey sincronizada junto a una llave hardware para cuentas críticas.

Los servicios que detecten un registro solo ligado a un dispositivo deberían sugerir añadir una copia de seguridad antes de depender de ello a diario. Esperar a que desaparezca el bolso es demasiado tarde.

Disponibilidad vs compromiso — las contraseñas reutilizadas parecen recuperables pero invitan a la toma de control

Una contraseña memorizada y reutilizada, sin segundo factor, es muy «disponible». A menudo puedes teclearla en cualquier sitio. Ese confort sale caro: los atacantes masivos la recolectan, la prueban en otros sitios y se adueñan de las cuentas.

El Digital Defense Report 2025 de Microsoft sigue mostrando el peso de los ataques centrados en contraseñas. Añadir un dispositivo a la autenticación—gestor, MFA clásica o FIDO2—reduce con fuerza el riesgo de compromiso, a cambio de una dependencia de recuperación que hay que planificar.

Las passkeys sincronizadas eligen a propósito el mejor equilibrio: un poco más de planificación de recuperación, mucho menos espacio para phishing y credential stuffing.

Los flujos de recuperación son el eslabón débil compartido

Cuando desaparecen todos los autenticadores, passkeys y MFA tradicional llegan al mismo sitio: enlaces de correo, códigos SMS, tickets de soporte u otras pruebas de titularidad. Esos caminos suelen ser más débiles que el inicio de sesión principal—y los atacantes ya los abusan.

A medida que las passkeys se extienden y el inicio primario es más difícil de phishar, la recuperación atraerá más atención. No es un argumento contra las passkeys; es un argumento para fortalecer la recuperación y proteger las cuentas de correo y de sync detrás de los botones de restablecimiento.

Trata el correo y la cuenta de sync como joyas de la corona: inicio resistente al phishing cuando sea posible, secretos únicos y opciones de recuperación que entiendas antes de necesitarlas.

Lista de comprobación antes de confiar en passkeys a diario

• Prefiere passkeys sincronizadas en cuentas personales para que un teléfono perdido no sea un único punto de fallo.
• Inscribe al menos dos dispositivos (o un dispositivo más una llave hardware) en correo, banca, nube y cuentas de desarrollador.
• Si usas un token FIDO de un solo dispositivo, registra un autenticador de respaldo antes de necesitarlo.
• Protege el propio tejido de sync con autenticación resistente al phishing y una ruta de recuperación probada.
• Guarda códigos de respaldo o recuperación documentada solo donde el servicio lo exija—y fuera de línea.
• No borres los fallbacks de contraseña hasta entender cómo ese servicio recupera una passkey perdida.
• Revisa periódicamente las passkeys registradas y revoca las que ya no controles.