Las voces clonadas con IA y los smartphones comprometidos debilitan la MFA de software. En it-sa 2026, Alexander Koch, de Yubico, explica por qué las empresas vuelven a las llaves de seguridad dedicadas.
La inteligencia artificial está socavando las barreras de seguridad clásicas y la MFA basada en software en los smartphones, a pesar de que las normas europeas exigen una protección fiable contra el phishing. En una entrevista en it-sa 2026, Alexander Koch, SVP Sales EMEA de Yubico, explica cómo las llaves de seguridad físicas devuelven la fiabilidad a la verificación de identidad y por qué las soluciones puramente de software ya no resisten las amenazas actuales.
Los responsables de seguridad se enfrentan a un panorama de amenazas distinto. Las herramientas de IA permiten a los atacantes imitar voces humanas de forma convincente, por lo que las verificaciones por voz pierden su eficacia. Las confirmaciones por SMS tampoco bastan, porque las conexiones móviles pueden interceptarse. Una encuesta de Yubico y Okta a 1.890 profesionales de seguridad y TI en nueve países muestra cuánto se rezaga la práctica: el 44 % informó de un ataque impulsado por IA en doce meses (Alemania: 38 %), y el 43 % sigue confiando en las contraseñas en el trabajo, aunque muchos consideran más seguras las passkeys; el 52 % heredó contraseñas ya el primer día.
Por qué el smartphone se queda corto
Durante mucho tiempo, muchas empresas confiaron en aplicaciones de autenticación en los móviles corporativos. Sin embargo, los smartphones son dispositivos de software complejos expuestos al malware, y las aplicaciones maliciosas pueden capturar credenciales antes de que se procese el aviso de seguridad. Una protección eficaz exige sistemas que funcionen separados del sistema operativo del dispositivo.
Koch describe la urgencia: «Las empresas vuelven al clásico token de hardware, después de haber dicho durante un tiempo que un autenticador en el smartphone era suficientemente seguro. Un smartphone es software y un dispositivo del que no se sabe realmente qué ocurre en él. La YubiKey es un dispositivo de seguridad de hardware dedicado que excluye en gran medida los ataques de phishing, porque la identidad digital permanece en el elemento y no lo abandona». Se trata de una solución sin contraseña, añade, en la que ya no se transmite ninguna contraseña por la red.
Producción europea como argumento para la cadena de suministro
Normas como NIS2 y DORA exigen a los operadores de infraestructuras críticas que demuestren cadenas de suministro robustas y estándares de seguridad auditables. Según Yubico, sus llaves se fabrican exclusivamente en dos plantas en Suecia, y el elemento seguro procede de Infineon.
Koch: «Precisamente en el entorno europeo, las empresas dicen: es tecnología europea, la apoyamos, y eso da sensación de seguridad. […] Como nuestra sede está en Estocolmo, todas las áreas de la organización, desde finanzas hasta el departamento jurídico, están en Suecia y estamos plenamente sujetos a la legislación de la UE». Los clientes pueden comprar las llaves de forma indefinida o usar un modelo de servicio; en este último, Yubico tiene acceso parcial a los datos, que permanecen en la UE. Muchas empresas medianas compran on-premises, y los números de serie se eliminan una vez enviadas las llaves.
Proteger la primera entrega
La entrega inicial a los empleados es un momento crítico: un token interceptado o cambiado en el correo podría permitir a un atacante hacerse con una identidad. Por eso, los modelos de distribución modernos usan canales separados para el hardware y los códigos de activación, o dejan que compañeros ya establecidos confirmen a los nuevos empleados.
Koch describe el proceso: «Estamos muy cerca de la experiencia de una tarjeta de crédito: el empleado recibe su token y, por separado, un sobre con el PIN con el que abre la llave una sola vez y asigna su propio PIN. Entre compañeros, un empleado existente puede escanear un código QR y garantizar la incorporación segura». Según su exposición, Yubico es el único proveedor que ofrece este proceso fluido desde la producción hasta el empleado, lo que permite a los responsables de seguridad cumplir varios requisitos de cumplimiento normativo a la vez.
Llaves de hardware frente a passkeys de software
Las passkeys integradas en los sistemas operativos ofrecen comodidad, pero están ligadas a cada dispositivo y llegan a su límite cuando los empleados cambian de sistema o de dispositivo móvil. Una llave física funciona entre plataformas mediante USB o comunicación de campo cercano, sin que queden credenciales en el dispositivo.
Koch: «La llave de hardware se puede usar universalmente por USB y NFC; basta con acercarla al dispositivo. Además, reducimos el tiempo de incorporación de nuevos empleados de media hora a un minuto, lo que reduce drásticamente los costes de soporte». Pone el precio en perspectiva: unos auriculares cuestan unos 120 euros, una YubiKey entre 50 y 60 euros.
Yubico también amplía el concepto más allá del inicio de sesión. YubiKey 5.8, lanzada en julio de 2026, añade compatibilidad con CTAP 2.3 y una vista previa de una extensión de firma de WebAuthn, de modo que las llaves puedan respaldar acciones como la firma de documentos o las aprobaciones. Esto cobra importancia con los agentes de IA: el 91 % de los encuestados quiere un paso de aprobación humana antes de que los agentes ejecuten acciones críticas.
Protección para toda la organización
Los conceptos se quedan cortos si solo cubren a directivos o administradores, ya que los atacantes prefieren los accesos menos protegidos como cabeza de puente. Según Koch, BMW tiene en uso en todo el mundo más de medio millón de YubiKeys, y entre los clientes figuran bancos como Santander, ING y Commerzbank. En Europa, las ventas se realizan exclusivamente a través de socios que atienden a la mediana empresa. En it-sa estuvieron presentes 16 compañeros del equipo alemán; cuando Koch empezó hace ocho años, eran dos.
Su conclusión: «Se trata de dejar de proteger a usuarios expuestos individuales para asegurar toda la organización. […] El objetivo es ofrecer a toda la empresa una protección sencilla y fiable».
El Dr. Dietmar Müller es un experimentado periodista especializado en TI y redactor jefe de Beyond Buzzwords. Cuenta con décadas de experiencia en el mercado alemán e internacional de las tecnologías de la información, así como con una sólida trayectoria editorial en prestigiosas editoriales y medios de comunicación como Springer, IDG y CBS Interactive. Ya se trate de artículos especializados en distintos medios, análisis en profundidad o entrevistas bien documentadas, ya sea desde su escritorio o en contacto directo con figuras destacadas del sector: el Dr. Dietmar Müller se mueve con total soltura en el mundo de las tecnologías de la información empresariales. Sus áreas temáticas principales abarcan las arquitecturas de TI y OT empresariales, la nube, los sistemas ERP y MES, los centros de datos, la ciberseguridad y el cumplimiento normativo, la automatización industrial y la gobernanza de la IA, entre otras.