Los passkeys pasan a ser el predeterminado en Microsoft—pero el phishing, el spoofing de OAuth y los vacíos en UEFI amenazan el cambio

Microsoft anunció que los passkeys pasarán a ser el método de autenticación predeterminado para su servicio empresarial de identidad Entra ID a partir de septiembre de 2026, con el objetivo de reducir el riesgo de secuestro de cuentas basado en contraseñas. El momento importa porque, en paralelo, investigadores y reportes de amenazas documentaron varias técnicas orientadas a derrotar o eludir controles modernos de autenticación. Se informó que nuevos kits de phishing dirigidos a cuentas de Microsoft 365—llamados Jalisco y OmegaLord—emplean métodos que evaden la autenticación multifactor (MFA). Por separado, investigadores destacaron 11 shims UEFI antiguos, firmados por Microsoft, que podrían abusarse para saltarse Secure Boot en sistemas que usan estándares de firmware modernos. En conjunto, el paquete de noticias apunta a un problema clásico de transición de seguridad: los defensores endurecen la identidad y el acceso, mientras los atacantes adaptan con rapidez sus herramientas para validar credenciales robadas, evadir la telemetría y explotar cadenas de confianza en el proceso de arranque. El despliegue de passkeys inclina la balanza hacia una autenticación resistente al phishing, pero la campaña reportada de spoofing de OAuth client ID sugiere que los atacantes aún pueden enumerar cuentas de usuario y confirmar credenciales robadas de Entra sin activar los mismos patrones de detección. Esto crea una dinámica de poder en la que los proveedores de identidad en la nube deben acelerar la ingeniería de detección y la guía de endurecimiento para clientes, mientras que las empresas enfrentan una ventana de exposición a corto plazo durante la migración. Los beneficiarios más inmediatos de la innovación del atacante son los actores que monetizan el acceso a entornos de Microsoft 365 y Entra ID; los perdedores son las organizaciones que retrasan la adopción de passkeys, mantienen habilitadas rutas de autenticación heredadas o carecen de controles compensatorios. Las implicaciones de mercado y económicas son indirectas pero reales: el gasto en seguridad de identidad y de endpoints suele aumentar cuando se publican rutas de bypass creíbles, y el riesgo dentro del ecosistema de Microsoft puede influir en la demanda de herramientas de seguridad, servicios de detección y respuesta gestionadas (MDR) y gestión de accesos privilegiados. Los sectores más sensibles son los usuarios de SaaS empresarial, los proveedores de ciberseguridad y los servicios de TI gestionados en la nube que venden alrededor de integraciones con Microsoft 365 y Entra ID. Aunque los artículos no implican un movimiento directo de commodities o de divisas, puede subir la prima de riesgo del seguro cibernético y la capacidad de respuesta a incidentes, especialmente para firmas con muchos asientos de Microsoft 365 o con datos regulados. En el segmento adyacente a cripto, el estudio de 85 extensiones de monederos del navegador que halló fugas de direcciones y riesgos de rastreo entre sitios puede presionar a proveedores de wallets y al ecosistema de extensiones, afectando más la confianza del usuario y la postura de cumplimiento que el precio inmediato de los tokens. Lo que hay que vigilar a continuación es si Microsoft y socios clave de seguridad publican una guía concreta de migración para passkeys, incluyendo qué flujos heredados permanecen habilitados durante la transición de septiembre de 2026. En el frente de amenazas, conviene monitorear señales de que las campañas de spoofing de OAuth client ID amplían su alcance, en particular intentos de enumerar usuarios de Entra y validar credenciales robadas a escala. Para el riesgo en endpoints y firmware, hay que seguir si los hallazgos sobre los shims UEFI se traducen en avisos de proveedores, disponibilidad de parches y recomendaciones de configuración de Secure Boot para distribuciones Linux y OEM. Los disparadores incluyen picos en incidentes de robo de credenciales en Microsoft 365, nuevos reportes de kits de phishing que eluden MFA y confirmación de que las técnicas de bypass de Secure Boot se están armando en el mundo real y no se quedan solo en pruebas de concepto. Si esas señales se intensifican, la tendencia podría volverse volátil para los presupuestos de seguridad de identidad empresarial y la demanda de respuesta a incidentes durante los próximos dos trimestres.

Implicaciones Geopolíticas

• 01

  Identity infrastructure is becoming a strategic battleground: cloud authentication hardening (passkeys) can be outpaced by attacker innovation (OAuth spoofing and MFA-evasive phishing).

• 02

  Secure Boot and firmware trust-chain vulnerabilities extend the contest from the cloud into endpoints, increasing cross-domain risk for governments and critical infrastructure that standardize on Microsoft tooling.

• 03

  Public disclosure of bypass paths can drive regulatory and procurement shifts toward stronger IAM and endpoint assurance, affecting vendor leverage and national cybersecurity posture.

Señales Clave

• —Microsoft and partners publishing detailed passkey migration timelines, legacy-flow deprecation status, and compensating controls for September 2026 readiness.
• —New reporting on the operationalization of OAuth client ID spoofing at scale against Entra ID tenants.
• —Vendor advisories and patch guidance tied to the 11 UEFI shim findings, including Secure Boot configuration recommendations for OEMs and Linux distributions.
• —Trends in Microsoft 365 credential-theft incidents that correlate with MFA-evasion kit activity.