Tu código de seis cifras ya no frena a nadie

La página de acceso se convirtió en la puerta más barata a una pyme

Pregunta cómo se roba hoy a una empresa y la mayoría de la gente imagina algo físico: un robo con fuerza, un palé que no llega, un proveedor que se esfuma con la señal. Las cifras publicadas apuntan a algo más aburrido. En su Informe sobre delitos en internet de 2025, el centro de denuncias del FBI registró 1.008.597 denuncias y 20.877 millones de dólares en pérdidas, un 26% más que en 2024, con una pérdida media declarada de 20.699 $. El fraude cometido por medios digitales suma por sí solo el 85% de esas pérdidas.

Dos categorías importan para este artículo. El compromiso de correo empresarial, en el que un atacante te escribe desde un buzón que parece de un proveedor o de un directivo, generó 24.768 denuncias y 3.050 millones de dólares en pérdidas en 2025, frente a 2.770 millones en 2024. El phishing y la suplantación de identidad fueron el delito más denunciado del año, con 191.561 denuncias. Y el informe trae una etiqueta que no existía hace unos años: las denuncias marcadas como relacionadas con la IA llegaron a 22.364, con 893 millones de dólares en pérdidas.

Nada de eso es motivo para entrar en pánico, ni es una predicción sobre tu empresa. Es una descripción de hacia dónde va el dinero, y la razón de que vaya ahí es estructural. Un robo con fuerza necesita tu nave. Una transferencia fraudulenta solo necesita un buzón, y un buzón solo necesita una sesión válida.

Por eso el código de seis cifras merece un repaso. El ataque contra el que se diseñó es el robo de credenciales a secas: alguien adivina o compra tu contraseña y entra. Los códigos por SMS encarecen ese ataque. Lo que no frenan es el ataque que hoy se usa en la práctica, que es el intermediario (proxy). El atacante se coloca entre tú y el sitio real: aterrizas en su copia, te pide la contraseña y el código, y en segundos los pasa al sitio verdadero. El código era válido, el inicio de sesión era real, y la sesión que se abrió era suya. Sin malware, sin cifrado roto, sin un empleado cómplice. Una página convincente y un móvil que vibra justo a tiempo.

Eso es lo que debería excluir la etiqueta "resistente al phishing", y es la razón por la que los organismos de normalización dejaron de considerar los mensajes de texto un segundo factor aceptable para cualquier cosa que importe.

Qué significa resistente al phishing, en palabras del propio NIST

El documento de referencia aquí es la Publicación Especial 800-63B-4 del NIST, el volumen de autenticación de las Directrices de Identidad Digital de Estados Unidos. Fue aprobada por el consejo de revisión editorial del NIST el 30 de mayo de 2025 y sustituye a la versión de 2017. Está escrita para sistemas federales estadounidenses, así que no obliga a nadie en Madrid ni en Ourense, pero es la vara de medir técnica que copian todos los demás y es sorprendentemente contundente.

En el nivel de garantía de autenticación 2, el nivel en el que se situaría la mayoría de los sistemas de empresa, el verificador "DEBE ofrecer al menos una opción de autenticación resistente al phishing". En el nivel 3 se exige un autenticador resistente al phishing, además de una clave que no se pueda exportar. Y con los códigos de un solo uso el documento no es ambiguo: tanto en la sección de OTP de un solo factor como en la de multifactor afirma que "la autenticación por OTP no es resistente al phishing".

El NIST publica una tabla de tipos de autenticador que deja la jerarquía a la vista. "Out-of-band device" —la fila en la que viven los SMS y las notificaciones push— aparece marcada como resistente a la repetición pero no resistente al phishing. Esa misma tabla marca "multi-factor cryptographic", la fila que contiene las passkeys FIDO2 con verificación del usuario, como las dos cosas a la vez. La fila sobre la exportabilidad de la clave es igual de directa: permitida en los niveles 1 y 2, prohibida en el 3.

La Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) dice lo mismo en una frase en su hoja informativa sobre MFA resistente al phishing: "La única autenticación resistente al phishing ampliamente disponible es la autenticación FIDO/WebAuthn". Después describe las dos formas que existen en la práctica. Los autenticadores externos son tokens físicos aparte, que conectas por USB o acercas por NFC. Los autenticadores de plataforma van integrados en el portátil o el móvil que ya tienes. Las passkeys son de este segundo tipo, y las que se sincronizan con un llavero en la nube también son del primero, porque una llave de seguridad también puede guardarlas.

Merece la pena entender el mecanismo, porque explica por qué el arreglo es duradero y no otra capa que añadir. Con una passkey, tu dispositivo guarda una clave privada y el sitio web guarda la pública. Cuando inicias sesión, el sitio envía un desafío, tu dispositivo lo firma, y la firma solo valida en el dominio para el que se creó. Una copia del sitio en el dominio del atacante recibe una firma para el dominio del atacante, que no vale para nada. No hay ningún secreto compartido que teclear, así que no hay nada que retransmitir en tiempo real. La definición de la propia FIDO Alliance es compacta: las passkeys son credenciales FIDO2, se desbloquean con la misma biometría, PIN o patrón que usas en el dispositivo, y se apoyan en el estándar WebAuthn que los navegadores implementan de forma nativa.

Las cuentas de una empresa de doce personas

Con números esta decisión se toma mejor que con argumentos, así que aquí va un ejemplo con números. Cada dato de los que siguen es una suposición que estoy declarando, no una medición. Cambia los tuyos y la forma se mantiene.

Empieza por el coste de no hacer nada. Las cifras del FBI de 2025 salen a unos 123.000 $ por denuncia de compromiso de correo empresarial (3.050 millones de dólares entre 24.768 denuncias) —una media inflada por las víctimas grandes, así que tómalo como un orden de magnitud, no como una previsión. Una empresa de doce personas que paga una factura fraudulenta de 8.000 € y dedica cuarenta horas de tiempo de dirección a recuperarse ha perdido 8.000 € más unos 1.600 € de tiempo cargado a 40 € la hora, más lo que el banco no devuelva. Un solo incidente en cinco años basta para que todo el ejercicio de abajo parezca barato.

Ahora la fricción diaria, que es lo que de verdad nota el propietario. Supón que cada una de las doce personas reinicia una contraseña o espera un código SMS que nunca llega dos veces al mes, y que cada episodio cuesta quince minutos contando la interrupción de quien ayuda. Son 12 × 2 × 0,25 = 6 horas al mes, o 72 horas al año, de tiempo perdido sin más. La página de passkeys de la FIDO Alliance cita su Passkey Index, que declara una reducción del 81% en las incidencias de soporte relacionadas con el inicio de sesión tras el despliegue, y aunque la cifra viene de la industria que promueve la tecnología y no de un ensayo independiente, la dirección coincide con todo lo demás que se ha publicado sobre reinicios de contraseña.

Y luego el despliegue, con el precio honesto. Dos llaves de seguridad FIDO2 por persona —una en el llavero y otra guardada en la oficina como respaldo— a unos 50 € cada una, o sea 100 € por persona, 1.200 € para doce. El alta de cada cuenta lleva en la práctica unos veinte minutos por persona, y casi todo el mundo tiene tres cuentas que importan: el correo, el almacenamiento de archivos o el SSO, y el programa de contabilidad. Eso es una hora por persona, doce horas de personal, más una tarde para quien administre el entorno. El coste total del primer año para la empresa, suponiendo 40 € la hora: 1.200 € en hardware, 480 € en mano de obra de alta, pongamos 2.000 € contando el margen de las cuentas que se resisten.

Pon las dos columnas juntas. 2.000 € una sola vez, frente a 72 horas al año de reinicios valoradas en unos 2.880 € y un único fraude de 8.000 € que se lleva por delante toda la comparación. El hardware ni siquiera es imprescindible: si todo el mundo lleva ya un móvil compatible con passkeys, los 1.200 € bajan a cero y el argumento se refuerza. Las llaves de seguridad importan para las dos o tres personas que administran sistemas, porque una llave ligada a un dispositivo no se puede pescar con phishing ni clonar desde una copia de seguridad en la nube.

Lo que estas cuentas no recogen es la parte que hace que merezca la pena empezar por aquí: un buzón comprometido en una pyme no es un día malo y ya está. Es el atacante leyendo seis meses de facturas, aprendiendo quién aprueba qué, quién está de vacaciones y qué proveedor cambió de banco en marzo, y luego esperando el momento. El tiempo de recuperación de eso se mide en semanas, y la confianza que pierdes con el cliente cuya factura fue desviada no aparece en ningún balance.

Qué cambiar, y en qué orden

No todos los segundos factores son iguales, y el orden no es cuestión de gusto. La guía de la CISA para pequeñas y medianas empresas los ordena de más a menos seguro: primero una llave de seguridad física, después una app de autenticación con coincidencia de números, después una app de autenticación con código de un solo uso, después la biometría, y por último un código por SMS o correo, del que dice que ofrece "la protección más débil" y que solo recomienda cuando no existe nada más fuerte para esa cuenta.

El orden de trabajo es el mismo que recomienda la CISA para ir por fases: protege lo que merece la pena robar y empieza donde el proveedor ya admite FIDO. En la práctica eso significa primero el correo, porque es la cuenta que puede restablecer todas las demás, y el correo alojado y el inicio de sesión único son los dos sitios donde el soporte es casi universal. Después el proveedor de identidad o el directorio, si lo tienes. Después el banco y el programa de contabilidad, que son las cuentas que pueden mover dinero. Y después los dominios, el hosting y las cuentas de redes sociales, que son las que nadie recuerda hasta que la factura de renovación llega a una dirección que ya no existe.

Dos detalles deciden si el despliegue cuaja. El primero, la recuperación: da de alta el móvil de cada persona y entrega una llave de respaldo que se quede en un cajón, porque la forma más rápida de abandonar las passkeys es quedarte sin acceso un lunes por la mañana con un cliente esperando. El segundo, elimina la vía de bajada. Si el sistema todavía permite un "mejor envíame un código" en la pantalla de acceso, el atacante elegirá esa opción por ti, y la llave de seguridad que compraste se queda de adorno. Desactiva el método alternativo en las cuentas que importan y mantenlo documentado como excepción donde un sistema no pueda hacerlo mejor: la CISA dice con claridad que algunos sistemas no admitirán MFA resistente al phishing y que no debes dejar que frenen el resto del plan.

La parte que las passkeys no arreglan: el pago en sí

Hay un hueco en todo esto, y no está en la criptografía. Una passkey demuestra que quien pulsa aprobar es quien tiene el dispositivo. No dice nada sobre si la petición que aprueba es real. Si un atacante no necesita tu acceso —porque puede llamar a quien te lleva la contabilidad haciéndose pasar por tu mayor proveedor y pedir, con educación y de forma convincente, un cambio urgente de datos bancarios—, una capa de autenticación perfecta es irrelevante. Ese ataque no entra por la puerta. Pide.

Las denuncias al FBI sitúan el compromiso de correo empresarial en 3.050 millones de dólares en 2025, la segunda categoría de pérdidas después del fraude de inversiones. Una parte importante de esos casos acaba con un empleado legítimo haciendo una transferencia legítima a una cuenta ilegítima. El único control que lo detecta es el proceso, y el proceso es barato:

1. Deja por escrito qué pagos necesitan dos personas, por importe, y ten esa regla a la vista de quien paga las facturas.
2. Verifica cualquier cambio de datos bancarios llamando a un número que ya tenías guardado, nunca al número que aparece en el correo que pide el cambio.
3. Exige que el segundo aprobador dé el visto bueno en el programa de contabilidad, no respondiendo "ok" a una cadena de correos.
4. Mantén una lista de teléfonos de proveedores, actualizada por alguien que no sea la persona que les paga.
5. Acordad de antemano y por escrito lo que tu empresa no hará nunca: enviar datos de tarjeta por correo, aceptar nuevos datos bancarios por WhatsApp, saltarse la verificación porque el director está de viaje.
6. Pruébalo una vez al trimestre con una petición falsa de un compañero, y agradece en voz alta a quien la detecte.

Dos de esos pasos no cuestan nada y habrían frenado la mayoría de los casos de los informes. La razón de que no sean la norma en las pymes no es el coste. Es que implican que el propietario también puede ser engañado, y a nadie le gusta escribirlo. Escríbelo igual: la regla protege a quien lleva las facturas de tener que decidir bajo presión de alguien que suena exactamente como el jefe.

Cuándo no hacerlo todavía

Las passkeys no son una mejora universal, y una pyme que las despliega mal acaba peor que otra que nunca empezó: fuera de sus cuentas, con una cola de gente enfadada y un sistema a medio migrar. Hay cuatro situaciones que deberían hacerte esperar o cambiar el plan.

La primera es un sistema que no puede. Los ERP antiguos instalados en el local, el software de taller, algunos terminales punto de venta y una cantidad sorprendente de portales de proveedores siguen autenticando con usuario y contraseña, y punto. Comprar llaves de seguridad para un sistema que nunca las va a admitir es tirar el dinero; documenta esa cuenta como excepción, limita a lo que puede llegar y pon el esfuerzo en los sistemas que sí admiten FIDO.

La segunda son las cuentas compartidas. Si cuatro personas entran en el mismo buzón como admin@, una passkey pertenece a un dispositivo, y en cuanto la persona que la dio de alta se va de vacaciones la cuenta es inalcanzable —o, peor, todo el mundo sigue usando la contraseña y la passkey no protege nada. Crea primero una cuenta individual por persona, y después da de alta. Este es el paso que hace que todo el proyecto tarde más de lo previsto, y saltárselo es la razón de que los despliegues se abandonen.

La tercera es un plan de recuperación que no existe. Las llaves ligadas al dispositivo no se sincronizan: pierdes la llave y pierdes el acceso. Las passkeys sincronizadas viajan en una cuenta en la nube, así que la seguridad de tu acceso de empresa pasa a ser la seguridad de quien controla esa cuenta, algo aceptable para la mayoría pero que merece una pensada en las dos cuentas que pueden hacer transferencias. En cualquier caso, dos dispositivos dados de alta y una llave en un cajón, antes de apagar nada.

La cuarta es un equipo al que no se le ha explicado por qué. La propia guía de la CISA trata la resistencia como un problema de comunicación, no técnico: explica el riesgo, consigue que la decisión se tome arriba y luego migra por fases empezando por quienes tienen las cuentas más valiosas. En una empresa de doce personas eso es una reunión y una tarde. En una donde el propietario lo anuncia por correo y desaparece, son seis semanas de gente usando el SMS alternativo en silencio.

Si no se da ninguna de las cuatro, el coste de esperar es la parte interesante. El hardware no se abarata de ninguna forma que importe, los estándares no van a cambiar de opinión sobre los mensajes de texto, y la única variable que se mueve es cuánto tiempo sigue tu buzón siendo tan fácil de conseguir como hoy.

Preguntas frecuentes

¿Son las passkeys más seguras que una contraseña más un código SMS?

Sí, para el ataque que realmente se usa. La tabla de autenticadores del NIST marca los códigos SMS y push como no resistentes al phishing y las passkeys FIDO2 con verificación del usuario como resistentes al phishing, y la CISA afirma que FIDO/WebAuthn es la única opción resistente al phishing ampliamente disponible. Una passkey no se puede teclear en una página falsa, porque la firma está ligada al dominio real y la clave privada nunca sale de tu dispositivo. Lo que no arreglan es que una persona apruebe un pago fraudulento después de una llamada convincente, que es un problema de proceso.

¿Cuestan algo las passkeys para una pyme?

Normalmente no, por persona. Si tu equipo ya tiene móviles y portátiles compatibles con passkeys, el coste de software es cero y el coste es el tiempo de alta, en torno a una hora por persona para tres cuentas. Las llaves de seguridad físicas FIDO2 cuestan unos 50 € cada una, y dos de ellas para las tres o cuatro personas que pueden aprobar pagos es el único gasto que necesita la mayoría de las pymes. Los propios sistemas —correo, proveedor de identidad, contabilidad— tienen que admitir passkeys, y la mayoría de los alojados ya lo hacen.

¿Qué pasa si alguien pierde el móvil o la llave de seguridad?

Usa el segundo dispositivo dado de alta, o la llave de respaldo que está en la oficina, y vuelve a darse de alta. Por eso el plan de recuperación va antes de la migración y no después: las llaves ligadas al dispositivo nunca se sincronizan, y las passkeys sincronizadas dependen de la cuenta en la nube que las guarda. Da de alta dos dispositivos por persona desde el principio y el escenario del móvil perdido cuesta diez minutos en vez de un día.

¿Puedo mantener los códigos SMS como opción de respaldo?

Puedes, y deberías asumir que alguien los usará si están ahí. Dejar activado el método alternativo significa que el factor más débil se convierte en el nivel de seguridad efectivo de la cuenta, porque el atacante simplemente lo elegirá. La CISA recomienda la coincidencia de números como mitigación intermedia donde el MFA resistente al phishing es imposible; trata el SMS como una excepción documentada para sistemas antiguos concretos, y no como la vía por defecto para todo el mundo.

¿Sirve de algo cambiar los accesos si el fraude llega por correo o por teléfono?

En parte. La autenticación fuerte cierra la vía del robo del buzón, que es como empieza la mayoría de los casos de compromiso de correo empresarial y como el atacante consigue el contexto —proveedores, importes, vacaciones— para que una petición posterior resulte convincente. No cierra la petición en sí. Acompaña la migración con una regla de que cualquier cambio de datos bancarios se verifique en un teléfono que ya conocías, y con una doble aprobación por encima del importe que elijas.

¿Cuánto tarda el despliegue en una empresa de diez a veinte personas?

Una tarde para las cuentas que admiten passkeys, más el tiempo que lleve limpiar los accesos compartidos, y esa segunda parte es donde se atascan los proyectos. Primero una cuenta individual por persona, después el alta por prioridad: correo, proveedor de identidad, banca y contabilidad, y luego dominios y hosting. Anunciarlo y desaparecer es el modo de fallo; una reunión explicando el riesgo suele bastar para que lo demás salga solo.