Pass-the-Passkey: El nuevo ataque que vulnera Windows 11 y Entra ID

El ecosistema de la ciberseguridad corporativa ha mantenido durante años la premisa de que las tecnologías de autenticación sin contraseña (passwordless), basadas en los estándares FIDO2 y WebAuthn, representan la cúspide inexpugnable de la protección de identidades. Sin embargo, la reciente investigación revelada por Michael Grafnetter, especialista principal en seguridad de SpecterOps, demuestra que la seguridad perfecta en la teoría puede desmoronarse rápidamente si la implementación en el sistema operativo y en la nube resulta defectuosa. Bajo la denominación de Pass-the-Passkey, esta nueva cadena de ataques demuestra cómo es posible suplantar identidades privilegiadas en Microsoft Entra ID y eludir esquemas de autenticación multifactor (MFA) resistentes al phishing, sin necesidad de romper la criptografía subyacente de la clave privada ni poseer el dispositivo físico de la víctima.

Origen de la vulnerabilidad: La falla de registros en Windows 11 (CVE-2026-34348)

El núcleo de este vector de ataque reside en una falla de diseño crítica en la gestión de telemetría e historial de eventos del sistema operativo. Registrada oficialmente bajo la vulnerabilidad CVE-2026-34348, se descubrió que el Servicio de Registro de Eventos de Windows 11 (Windows Event Logging Service) escribía copias en texto plano y artefactos completos de los datos de credenciales de passkeys directamente en los registros locales del sistema operativo.

Cuando un usuario interactúa con un servicio FIDO2/WebAuthn utilizando Windows Hello o un autenticador integrado, la arquitectura del sistema procesa la aserción criptográfica a través de las APIs de la plataforma. De forma involuntaria, el subsistema de eventos capturaba la respuesta firmada y las estructuras de datos de la autenticación FIDO2, dejándolas almacenadas en los archivos de registro locales del sistema (archivos .evtx). Esto permitió que cualquier atacante con privilegios locales básicos o acceso de bajo nivel a la máquina —a través de código malicioso de ejecución local o recolección remota de telemetría— pudiera cosechar estos artefactos de autenticación sin levantar alertas en las soluciones tradicionales de detección y respuesta en los puntos finales (EDR/XDR).

El bucle en la nube: Invalidación de tokens en Microsoft Entra ID y el ataque Pass-the-Passkey

La recolección de los datos locales en el endpoint no habría sido suficiente para comprometer la infraestructura corporativa si el proveedor de identidad en la nube hubiera aplicado una validación estricta del protocolo WebAuthn. Aquí es donde la investigación de Grafnetter expuso el segundo eslabón de la cadena: la falta de controles rigurosos contra la reutilización de tokens (token replay) dentro de Microsoft Entra ID (anteriormente Azure Active Directory).

El estándar WebAuthn establece explícitamente un proceso de validación paso a paso que exige la verificación de un nonce criptográfico único o challenge generado por el servidor, asegurando la frescura y unicidad de cada transacción de inicio de sesión. Sin embargo, la implementación del servicio en la nube de Microsoft falló en verificar adecuadamente los contextos de sesión y la vigencia temporal de los artefactos de aserción capturados. Al combinar la extracción de datos locales mediante CVE-2026-34348 con esta omisión en el lado del servidor, los ciberdelincuentes pudieron reproducir la lógica del ataque Pass-the-Passkey.

A través de este procedimiento, un atacante reutiliza la prueba de autenticación interceptada para inyectarla directamente contra las APIs de autenticación de Entra ID. Como resultado, la plataforma valida el inicio de sesión como legítimo, otorgando acceso inmediato a cuentas administrativas y recursos corporativos sensibles. Todo esto ocurre sin requerir el código PIN de Windows Hello, el escaneo biométrico del usuario ni la presencia física de una llave criptográfica.

Comparativa técnica: Pass-the-Hash vs. Pass-the-Passkey

Para comprender la magnitud de este descubrimiento, es necesario analizar el contexto evolutivo del hacking corporativo en entornos Windows:

• Pass-the-Hash (PtH): Durante décadas, los atacantes interceptaban o extraían los hashes NTLM o los tickets Kerberos de la memoria de la entidad de seguridad local (LSASS) en Windows. Luego, reutilizaban esos datos hash para autenticarse en otros recursos de la red local sin conocer la contraseña en texto plano.
• NTLM Relay: Interceptaba los flujos de autenticación en tránsito para reenviarlos hacia servidores víctimas, aprovechando la ausencia de firma de mensajes o validación de canal (Channel Binding).
• Pass-the-Passkey: Adapta la misma filosofía conceptual a la era cloud-native y sin contraseñas. En lugar de extraer hashes de la memoria SAM o LSASS, los atacantes extraen la aserción FIDO2 del registro de eventos local de Windows 11 y la retransmiten hacia las APIs de Microsoft Entra ID.

Este paralelismo demuestra un principio fundamental en la ciberseguridad: el cambio de tecnología de credenciales no elimina la clase de ataque si los errores de implementación mantienen vigentes las debilidades de retransmisión y reutilización de datos de autenticación.

Claves Físicas (FIDO2/YubiKey) vs. Passkeys Sincronizadas en la Nube

Uno de los hallazgos más destacados del estudio de SpecterOps gira en torno a la diferencia de modelos de amenaza entre las passkeys sincronizadas en la nube y los dispositivos criptográficos físicos dedicados.

A medida que Microsoft impulsa las passkeys como el método de autenticación predeterminado para Entra ID, las organizaciones deben distinguir claramente sus niveles de garantía de seguridad:

1. Passkeys Sincronizadas (Cloud/Device-bound en software): Almacenadas en gestores de contraseñas o sincronizadas mediante cuentas de usuario (Apple iCloud Keychain, Google Password Manager, Microsoft Authenticator), ofrecen un avance masivo frente al phishing tradicional. Sin embargo, dependen de la postura de seguridad del sistema operativo donde se ejecutan y de la infraestructura de sincronización de la nube. Si la estación de trabajo se encuentra comprometida a nivel de software, los artefactos de la transacción pueden ser interceptados.
2. Claves de Seguridad Físicas por Hardware (FIDO2 / YubiKeys): Los módulos criptográficos independientes por hardware almacenan la clave privada en un chip inviolable (secure element). La clave nunca abandona el dispositivo físico y exige una prueba explícita de presencia humana mediante toque físico o interacción biométrica directa en el hardware. Adicionalmente, permiten la validación estricta de la Guía Identificadora de Creador de Atestación (AAGUID) en las políticas de acceso condicional de Entra ID, restringiendo el inicio de sesión únicamente a dispositivos aprobados.

La vulnerabilidad del “Fallback”: El talón de Aquiles de la transición sin contraseñas

Durante los procesos de migración hacia arquitecturas passwordless, las organizaciones suelen cometer el error táctico de dejar habilitados métodos de autenticación heredados o vías alternativas de recuperación de cuenta. Este fenómeno, conocido como la vulnerabilidad del fallback o degradación de autenticación, fue identificado como un factor crítico de riesgo colateral.

Si bien una empresa puede exigir el uso de passkeys para el acceso cotidiano, la presencia de contraseñas tradicionales, contraseñas temporales (TAP) mal gestionadas o sistemas de autoservicio de restablecimiento de contraseña (SSPR) protegidos por SMS o códigos OTP permite a los atacantes eludir la resistencia al phishing. Mediante técnicas de ingeniería social, fatiga de MFA (MFA fatigue) o ataques de intercambio de SIM (SIM swapping), un actor malicioso puede forzar al sistema a degradar los requisitos de seguridad hacia credenciales reutilizables, invalidando todo el esfuerzo de despliegue de las passkeys.

Estrategia de Mitigación y Auditoría para Administradores de CISO y Entra ID

Aunque Microsoft corrigió los comportamientos en el lado del servidor e incluyó el parche para CVE-2026-34348 en sus actualizaciones de seguridad oficiales del 14 de julio, la divulgación del ataque Pass-the-Passkey exige una revisión profunda de la arquitectura de identidades corporativas. Los directores de seguridad de la información (CISO) y administradores de Entra ID deben implementar las siguientes directrices:

1. Despliegue de Parches y Auditoría de Telemetría ETW

Es imprescindible garantizar que todos los endpoints con Windows 11 tengan aplicada la actualización de seguridad correspondiente a julio de 2026. Paralelamente, los equipos de SOC deben auditar las configuraciones del Servicio de Registro de Eventos y Event Tracing for Windows (ETW), asegurando que los registros de auditoría no incluyan cargas útiles sensibles (payloads) ni tokens de sesión FIDO2 en texto claro.

2. Restricción Estricta para Cuentas Privilegiadas (Tier 0 / Tier 1)

Las identidades con privilegios administrativos en Microsoft Entra ID (Global Administrators, Privileged Role Administrators) no deben depender únicamente de passkeys sincronizadas por software. Es obligatorio exigir el uso de claves de seguridad físicas no exportables por hardware (como YubiKeys de la serie 5) con políticas de acceso condicional que verifiquen los valores AAGUID específicos autorizados por la organización.

3. Eliminación Definitiva de Métodos Heredados

Desactivar de forma progresiva pero firme el uso de contraseñas y factores de autenticación débiles (SMS, llamadas de voz y OTP basados en correo). La política de autenticación en Entra ID debe configurarse para impedir el restablecimiento de contraseñas mediante canales inseguros, priorizando el uso de pases de acceso temporal (TAP) con ventanas de tiempo extremadamente cortas y un solo uso (IsUsableOnce).

4. Monitoreo Activo de Registro Administrativo de Credenciales

Implementar alertas automatizadas en Microsoft Sentinel o plataformas SIEM/XDR ante cualquier registro inusual de claves FIDO2 o métodos de autenticación adicionales. La creación no autorizada de passkeys por parte de usuarios o aplicaciones administrativas representa uno de los caminos de persistencia e invasión lateral más efectivos en entornos cloud híbridos.

Conclusión: El paradigma de la seguridad integral de la identidad

La investigación del ataque Pass-the-Passkey desarrollada por SpecterOps no invalida el modelo FIDO2 ni sugiere un retorno a la era de las contraseñas. Por el contrario, reafirma que el estándar criptográfico de passkeys sigue siendo la defensa más sólida disponible contra los ataques masivos de phishing y la suplantación de credenciales. No obstante, pone en evidencia una lección vital para la ciberseguridad moderna: ningún estándar es inmune a las fallas de implementación en el software que lo rodea.

La protección efectiva de la identidad digital en la era de la nube no se limita a adoptar el protocolo más reciente, sino a ejecutar una gestión rigurosa del ciclo de vida de los sistemas operativos, auditar los mecanismos de telemetría local, eliminar las vías de degradación heredadas y aplicar políticas de control de acceso verdaderamente adaptadas al nivel de riesgo de cada usuario corporativo.