Lectura de 7 min
El 7 de mayo de 2026 la FIDO Alliance publicó su informe anual de adopción: 5.000 millones de passkeys en uso en el mundo, 90% de conocimiento del concepto y 75% de usuarios que activaron al menos una. Cuatro meses después, el 8 de septiembre, el listado público que sigue qué bancos ofrecen passkeys a sus clientes se actualizó otra vez sin un solo banco de México ni de América Latina.
Las dos cosas son ciertas al mismo tiempo, y la distancia entre ellas es el tema de este artículo.
Los números, y lo que no dicen
| Indicador | Valor |
|---|---|
| Passkeys en uso en el mundo | 5.000 millones |
| Conoce el concepto | 90% |
| Activó passkeys en al menos una cuenta | 75% |
| Las usa habitualmente cuando están disponibles | 49% |
| Organizaciones que las despliegan para sus empleados | 68% |
| Organizaciones totalmente sin contraseñas | 28% |
Antes de usar estas cifras en una presentación interna, vale leer la metodología. Los diez países encuestados fueron Estados Unidos, Reino Unido, Francia, Alemania, Australia, Singapur, Japón, Corea del Sur, China e India. Ninguno de América Latina.
No es un defecto del informe, es un dato en sí: la región todavía no está en la muestra de la conversación global sobre autenticación sin contraseña. Y la brecha del 49% —la mitad de quienes las activaron no las usa cuando podría— sugiere que incluso en esos mercados el problema ya no es la tecnología sino el flujo.
Por qué la banca de la región no se movió
He escuchado la explicación fácil más de una vez: la región va atrasada. Me parece pobre. Hay razones estructurales, y son bastante concretas.
- El marco regulatorio razona por categorías de factor. En México la autenticación se diseña contra categorías definidas por la norma. Una passkey es una credencial de posesión ligada a un dispositivo con verificación del usuario, pero saber en qué casillero la pone el supervisor no es una pregunta técnica: es una pregunta que hay que hacerle al regulador antes de comprometer un roadmap.
- El parque de dispositivos es más heterogéneo. Una passkey sincronizada supone una cuenta de plataforma activa y un sistema operativo razonablemente reciente. En una base de clientes amplia y con equipos de gama baja, el porcentaje que queda afuera es alto, y ese porcentaje necesita el camino viejo funcionando igual.
- El onboarding sigue pasando por sucursal. Donde el alta de mayor riesgo es presencial, el incentivo del banco es invertir en biometría presencial antes que en credenciales de dispositivo. Es exactamente lo que está pasando en México este trimestre.
- El costo del cambio recae sobre el canal que ya funciona. Migrar autenticación no es agregar una pantalla: es tocar el flujo por el que entra el dinero. El sesgo hacia no tocarlo es racional.
La parte que nadie promociona: la recuperación
Este es el punto que más me interesa, porque es donde el discurso de «sin contraseñas» se choca con la realidad operativa.
Una passkey elimina la contraseña del inicio de sesión. No elimina la pregunta de qué pasa cuando el cliente cambia de teléfono.
El día que alguien pierde el dispositivo, la cuenta se recupera por algún camino. Y en casi todas las implementaciones reales ese camino termina siendo el número de teléfono, el correo o la atención telefónica. Es decir: exactamente los canales que la passkey supuestamente venía a reemplazar.
Esto no es un argumento contra las passkeys. Es un argumento contra medir el proyecto por el inicio de sesión. Si el camino de recuperación queda sin endurecer, el atacante deja de atacar el login y ataca la recuperación, que además suele estar operada por personas y con menos telemetría. Por eso el análisis de riesgo previo sigue importando: Una SIM registrada no es una SIM confiable explica por qué la titularidad de una línea no alcanza como prueba, y las Network APIs de GSMA Open Gateway dan señales útiles justo en ese momento.
Cómo se ve una transición realista
Lo que he visto funcionar no es un reemplazo, es una convivencia deliberada por varios años, con el foco puesto en reducir el uso del factor débil antes de eliminarlo.
- Passkey como opción, no como imposición. Ofrecerla a quien puede usarla, medir qué porcentaje de la base la adopta y no prometer fechas de apagado del canal anterior hasta tener ese número.
- Endurecer la recuperación primero. Antes de desplegar passkeys conviene revisar el flujo de recuperación, porque es el que va a concentrar el ataque después.
- Señales de red antes del desafío. Verificación de titularidad del número y antigüedad del último cambio de SIM, consultadas antes de decidir qué factor pedir.
- Un factor de respaldo digno. Mientras el respaldo exista, merece el mismo cuidado que el camino principal: límites de intento, vigencia corta, un solo uso y un mensaje que no se pueda confundir con otro.
- Medir intentos, no solo éxitos. La métrica que importa no es cuántos clientes activaron una passkey, es cuántas autenticaciones del mes se resolvieron sin pedir un código.
Dato operativo. El indicador que conviene empezar a medir hoy, incluso sin proyecto de passkeys, es la proporción de autenticaciones que terminan en el camino de recuperación. Es un número que casi nadie mira, se obtiene de los registros que ya existen y es el que va a decidir si el proyecto tiene sentido.
Qué mirar antes de prometer “sin contraseñas”
- Qué porcentaje de tu base tiene un dispositivo capaz de sincronizar passkeys, medido y no estimado.
- Qué dice tu área de cumplimiento sobre la categoría de factor en la que cae una passkey, por escrito.
- Qué sucede con el cliente que usa la banca desde una computadora compartida.
- Cuánto tarda hoy la recuperación de acceso y por cuántas manos pasa.
- Qué pasa si el proveedor de la cuenta de plataforma del cliente le cierra la cuenta.
El primer banco de la región que las lance va a tener una ventaja de comunicación grande. Pero la pregunta que yo haría primero es otra: ¿cuántas de tus autenticaciones del mes pasado se resolvieron sin enviar un código?
Preguntas frecuentes
¿Qué es una passkey?
Una passkey es una credencial de inicio de sesión basada en los estándares de la FIDO Alliance que reemplaza a la contraseña. Funciona con un par de claves criptográficas: la clave privada queda en el dispositivo de la persona y se desbloquea con su huella, su rostro o el PIN del teléfono; el servicio solo guarda la clave pública. Como no hay un secreto que escribir ni compartir, no se puede entregar por error en un sitio falso.
¿Una passkey reemplaza al OTP?
Reemplaza al OTP en el inicio de sesión de quien puede usarla. No reemplaza el camino de recuperación ni cubre a la porción de la base sin dispositivo compatible, así que en la práctica los dos mecanismos conviven bastante tiempo.
¿Son más seguras que un código por SMS?
Contra phishing, sí, y por diseño: la credencial está ligada al dominio y no se puede entregar a un sitio falso. Eso no vuelve al canal móvil inservible, lo reubica: deja de ser el factor principal y pasa a ser respaldo y vía de aviso, papeles que exigen su propio cuidado.
¿Qué pasa si el cliente pierde el teléfono?
Con passkeys sincronizadas, recupera el acceso desde otro dispositivo de la misma cuenta de plataforma. Si no tiene esa cuenta o la perdió, entra al flujo de recuperación del banco, que es justamente el punto que conviene endurecer antes de desplegar.
¿Hay algún banco de América Latina con passkeys?
Al 8 de septiembre de 2026, el listado público de referencia no registra ninguno en la región. Es un listado mantenido por un proveedor del sector, no un registro oficial, así que conviene leerlo como indicio y no como censo.
Fuentes
- FIDO Alliance: Informe de adopción global de passkeys (7 de mayo de 2026), con la metodología de las encuestas de Sapio Research.
- Corbado: Listado de bancos que ofrecen passkeys, actualizado al 8 de septiembre de 2026.
¿Estás evaluando esto? Si tu equipo está midiendo qué parte de su base podría usar passkeys, o revisando el flujo de recuperación antes de desplegarlas, escríbeme.
Seguir leyendo
- Guía: OTP por SMS en la banca de México — la referencia completa: regulación, diseño del mensaje, límites, señales de red y métricas.
- Una SIM registrada no es una SIM confiable — por qué la titularidad de una línea no alcanza como prueba de identidad.
- Network APIs de GSMA Open Gateway — señales de red para el análisis de riesgo antes de pedir un factor.
- la CNBV habilitó el SMS para códigos de autenticación — cómo quedó el canal móvil en la norma mexicana.
