El cibercrimen va “a por passkeys” y estalla la batalla por la encriptación—¿qué sigue para Google, Apple y la seguridad del Reino Unido?

Tres desarrollos distintos de ciberseguridad convergen en el mismo punto débil: el secuestro de cuentas y la batalla legal por el acceso a datos cifrados. El 3 de agosto, los investigadores describieron los ataques “Pass-ta-key”, que permiten que el malware ya presente en dispositivos Windows comprometidos abuse de las passkeys sincronizadas de Google Password Manager, habilitando el robo de cuentas, eludir la verificación del usuario y extraer claves privadas de passkeys. En paralelo, un nuevo servicio ruso de “loader-as-a-service” llamado DOUBLECUP utiliza técnicas ClickFix para ocultar código malicioso dentro de imágenes PNG almacenadas en caché por los navegadores de las víctimas, entregando finalmente CountLoader a dispositivos Windows y macOS y un nuevo troyano de acceso remoto para Windows denominado DeviceManager. Por separado, Apple lanzó un nuevo desafío legal contra un intento del Reino Unido de acceder a datos de usuarios cifrados, intensificando una disputa de larga data sobre qué pueden exigir los gobiernos a los grandes proveedores de plataformas. Geopolíticamente, el conjunto evidencia una brecha cada vez mayor entre ecosistemas cibernéticos respaldados por el Estado o tolerados por él y la postura de seguridad del sector privado que sostiene la soberanía digital. Las técnicas de passkeys y de caché del navegador muestran cómo los operadores criminales están pasando del robo de credenciales a la extracción de material criptográfico y al bypass de la verificación, lo que puede erosionar la confianza en sistemas de identidad cada vez más utilizados por gobiernos y empresas. Mientras tanto, el desafío legal de Apple en el Reino Unido indica que las demandas de acceso al cifrado siguen siendo políticamente controvertidas, con implicaciones para el acceso transfronterizo a datos, los estándares de evidencia y el margen de maniobra de los reguladores frente a las tecnológicas globales. Los ganadores probables son los atacantes capaces de escalar la toma de credenciales con baja fricción, mientras que los defensores enfrentan costos más altos en respuesta a incidentes, remediación de identidades y campañas de reautenticación. Las implicaciones de mercado y económicas probablemente se concentren en el gasto en ciberseguridad, las herramientas de gestión de identidades y accesos (IAM) y el riesgo regulatorio y de responsabilidad que pesa sobre las plataformas. Si las afirmaciones de compromiso de passkeys se traducen en incidentes más amplios, podría aumentar la demanda de endurecimiento de endpoints, controles de seguridad del navegador y monitoreo del ciclo de vida de passkeys, presionando a proveedores vinculados a ecosistemas de autenticación de consumo. Para Google, el riesgo inmediato es el escrutinio reputacional y regulatorio sobre Password Manager y los supuestos de seguridad de passkeys, lo que podría afectar decisiones de adopción empresarial de credenciales sincronizadas. Para Apple, la disputa del cifrado en el Reino Unido puede influir en costos de cumplimiento e incertidumbre legal para funciones de seguridad del dispositivo y la nube, con efectos en aseguradoras y compras corporativas. En el corto plazo, estas historias pueden impulsar el sentimiento hacia acciones y ETFs defensivos de ciberseguridad, al tiempo que incrementan la volatilidad en nombres expuestos a la gobernanza de seguridad de plataformas. Lo siguiente a vigilar es si los investigadores pueden cuantificar la prevalencia real en el mundo y si Google y Apple emiten mitigaciones o guías específicas que reduzcan la extracción de passkeys y el bypass de verificación. Entre los indicadores clave están los reportes de variantes adicionales de “secuestro de passkeys”, la telemetría sobre exposición de claves privadas y si las cadenas de entrega desde caché del navegador como ClickFix/DOUBLECUP se expanden a nuevas familias de loaders. En el frente legal, conviene seguir las presentaciones ante tribunales del Reino Unido, el alcance de cualquier orden de acceso forzado y los argumentos de Apple sobre viabilidad técnica y privacidad del usuario. Los puntos de activación para una escalada incluyen cualquier explotación masiva confirmada en el terreno, acciones regulatorias vinculadas al acceso al cifrado o desmantelamientos coordinados que revelen vínculos de infraestructura entre operadores de “loader-as-a-service” y redes criminales más amplias.

Implicaciones Geopolíticas

• 01

  Los ataques a la capa de identidad pueden socavar la confianza transfronteriza en los sistemas de autenticación digital.

• 02

  Las disputas sobre acceso al cifrado reflejan una competencia de soberanía entre la autoridad de vigilancia y la seguridad de extremo a extremo.

• 03

  Los modelos de “loader-as-a-service” con sigilo sugieren cadenas de suministro criminales resilientes que pueden superar la capacidad de enforcement.

Señales Clave

• —Mitigaciones de Google/Password Manager para exposición de claves privadas y bypass de verificación.
• —Evidencia de secuestros de passkeys en el mundo real más allá de condiciones de laboratorio.
• —Decisiones judiciales del Reino Unido que definan el alcance del acceso forzado a datos cifrados.
• —Expansión de las cadenas de entrega ClickFix/DOUBLECUP hacia familias adicionales de payloads.