La era de las contraseñas como único mecanismo de autenticación está llegando a su fin. Microsoft ha dado un paso decisivo al establecer las passkeys como método predeterminado en su servicio de identidad y acceso Entra ID a partir de septiembre de 2026, con el cese definitivo de las autenticaciones por SMS y voz en febrero de 2027. Esta decisión no es un simple cambio técnico, sino una respuesta directa a la creciente sofisticación de los ciberataques impulsados por inteligencia artificial. Las organizaciones que aún dependen de credenciales tradicionales se enfrentan a un riesgo operativo cada vez mayor, y la transición hacia la autenticación sin contraseña se convierte en una necesidad estratégica.
Las passkeys sustituyen las claves estáticas por mecanismos biométricos (huella dactilar, reconocimiento facial) o PIN almacenados en dispositivos seguros. A diferencia de las contraseñas, no existe un secreto compartido que pueda ser interceptado en un ataque de phishing o robado mediante malware. Incluso las campañas de suplantación más realistas, generadas con herramientas de IA, no pueden capturar una passkey, porque la autenticación requiere la posesión física del dispositivo y la verificación del usuario. Este cambio elimina de raíz la mayoría de los vectores de ataque basados en credenciales, como el robo de contraseñas, la reutilización o los ataques de intermediario.
Sin embargo, la adopción empresarial de passkeys ha sido lenta hasta ahora. Muchas empresas cuentan con aplicaciones heredadas que solo soportan contraseñas, y la fragmentación de ecosistemas de identidad dificulta la interoperabilidad entre plataformas. Además, la gestión del ciclo de vida, los procesos de recuperación, las cuentas compartidas y la incorporación de empleados presentan desafíos adicionales. Pero la decisión de Microsoft cambia las reglas del juego al convertir las passkeys en el estándar esperado, obligando a las organizaciones a adaptarse si quieren seguir utilizando Entra ID.
Para las empresas, esto implica revisar sus políticas de autenticación, identificar los grupos que aún usan SMS o voz, y seleccionar el mejor método de passkey según los dispositivos y flujos de trabajo. Microsoft soporta tanto passkeys sincronizadas (almacenadas en gestores como iCloud Keychain o Google Password Manager) como passkeys vinculadas al dispositivo (a través de Microsoft Authenticator, FIDO2 o claves de seguridad). La clave está en evaluar la compatibilidad con FIDO2 en toda la infraestructura, establecer procedimientos claros de registro y recuperación, y educar a los usuarios sobre cómo funcionan las nuevas credenciales.
Desde una perspectiva más amplia, este movimiento refuerza la necesidad de integrar soluciones de ciberseguridad robustas que vayan más allá de la autenticación. Las passkeys no son una bala de plata: no protegen contra el compromiso del endpoint, el robo de tokens de sesión, los insiders maliciosos o los atacantes que ya controlan un dispositivo de confianza. Por eso, las empresas deben complementarlas con protección de endpoints, monitoreo continuo, políticas de acceso condicional y detección de amenazas de identidad. En este contexto, contar con aplicaciones a medida que integren estos controles de seguridad se vuelve fundamental para una defensa en profundidad.
La inteligencia artificial también juega un rol dual. Por un lado, los atacantes la usan para automatizar campañas de phishing y generar páginas de inicio de sesión convincentes. Por otro, las empresas pueden aprovechar ia para empresas para detectar comportamientos anómalos, analizar patrones de autenticación y predecir intentos de intrusión. La implementación de agentes IA en los flujos de identidad permite automatizar respuestas ante incidentes y reducir la carga sobre los equipos de seguridad.
Asimismo, la migración a passkeys se beneficia enormemente de una infraestructura cloud moderna. Muchas organizaciones ya operan en entornos híbridos o multicloud, y la integración con servicios cloud aws y azure facilita la gestión centralizada de identidades y el despliegue de políticas de seguridad consistentes. La combinación de autenticación sin contraseña con servicios de inteligencia de negocio y Power BI permite, además, monitorizar en tiempo real las métricas de acceso, identificar riesgos y generar informes personalizados para la toma de decisiones.
En Q2BSTUDIO, entendemos que la transición hacia un modelo sin contraseña no es solo un proyecto técnico, sino una transformación organizativa. Por eso ofrecemos software a medida para adaptar los sistemas heredados a los nuevos estándares, integrando APIs de autenticación moderna y asegurando la compatibilidad con FIDO2. Nuestro equipo de expertos en ciberseguridad ayuda a diseñar políticas de acceso condicional y a implementar soluciones de detección de amenazas que complementen las passkeys. Además, apoyamos a las empresas en la adopción de servicios cloud AWS y Azure para centralizar la gestión de identidades, y en la creación de cuadros de mando con Power BI para visualizar la salud de la autenticación.
La fecha límite de febrero de 2027 puede parecer lejana, pero la planificación debe comenzar ahora. Las empresas que esperen hasta el último momento se enfrentarán a cuellos de botella en la inscripción de usuarios, problemas de compatibilidad y costes imprevistos si necesitan recurrir a proveedores de telecomunicaciones externos para los escenarios que aún requieran SMS o voz. Microsoft ha dejado claro que no habrá opción de exclusión, por lo que la adaptación es obligatoria.
En definitiva, la transición a passkeys representa un hito en la evolución de la seguridad digital. Al eliminar la dependencia de contraseñas, se reduce drásticamente la superficie de ataque y se fortalece la resiliencia frente a campañas automatizadas con IA. Pero el éxito de esta migración dependerá de una planificación cuidadosa, de la colaboración entre áreas de TI y seguridad, y del apoyo de socios tecnológicos con experiencia. En Q2BSTUDIO estamos preparados para acompañar a las organizaciones en este camino, ofreciendo soluciones integrales que van desde el desarrollo de aplicaciones a medida hasta la implantación de agentes IA y servicios de inteligencia de negocio. El futuro de la autenticación ya está aquí, y las empresas que actúen con anticipación estarán mejor posicionadas para enfrentar los desafíos de la ciberseguridad del mañana.
