Desde los inicios de la creación de Windows Hello, Microsoft lo ha promocionado como una alternativa real y más segura que las contraseñas tradicionales. Y para ello, se ha basado en su sistema de autenticación biométrica y el uso del PIN. Sin embargo, en la conferencia de Black Hat 2025, investigadores de seguridad han demostrado que el sistema también tiene sus propias vulnerabilidades.
Concretamente, la investigación presentada el ayer 7 de agosto por el Dr. Baptiste David y Tillmann Osswald, de ERNW Research, una reconocida firma de seguridad alemana, ha revelado una técnica que permite que un atacante con privilegios administrativos (o tras infectar el sistema con malware) inyectar datos biométricos falsos en un equipo con Windows. De esta manera, podrá desbloquearlo sin autorización.
Es decir, que el ciberdelincuente necesita previamente infestar el sistema con malware, ya sea a través de técnicas como phishing o descargas engañosas, e instalar un software malicioso capaz de escalar privilegios. Tras ello, deberá tener acceso físico al portátil, como puede ser mediante un robo. Pero también podría ser un empleado de una empresa con permisos de TI elevados.
El fallo, localizado en la base de datos de CyprtProtectData, utiliza dicha información para validar la autenticación en un PC.
Aun así, es cierto que este ataque requiere un acceso más profundo al sistema. Pero con todo y con ello, este hallazgo pone en evidencia que los métodos presentados como «más seguros» también pueden ser manipulados con el suficiente conocimiento. Para subsanar este error, los expertos han propuesto dos medidas en particular que vais a ver en este artículo. Por no decir que no es el primer problema relacionado con Windows Hello.
El anuncio de la conferencia Black Hat 2025
Windows Hello se ha convertido, con el paso del tiempo, en un sistema de autenticación recomendado por la propia Microsoft para iniciar sesión en Windows 10 y Windows 11. De hecho, desde Redmond lo han presentado como un método más seguro que las típicas contraseñas. Y objetivamente, lo es. Utiliza una tecnología de reconocimiento de datos biométricos que no se basa en una simple escritura de caracteres. Por ejemplo, puede utilizar huellas digitales o reconocimiento facial.
Pero aun así, el descubrimiento que se ha presentado en la conferencia de Black Hat, en Las Vegas, ha demostrado que este sistema también tiene vulnerabilidades.
Según los investigadores Baptiste David y Tillmann Osswald, de ERNW Research, la vulnerabilidad se encuentra en la técnica que utiliza Windows para almacenar y proteger los datos biométricos mediante CryptProtectData.
En el caso de que un atacante consiga un control administrativo del sistema (como tras la instalación de un malware), puede incorporar datos falsos a la base de datos y el sistema lo reconocerá como algo totalmente legítimo. Aun así, este tipo de ataque no se puede llevar a cabo de manera remota sin que existan dichos privilegios de administrador. Pero los ciberdelincuentes que consigan hacerlo podrán eludir el bloqueo establecido por Windows Hello.
Cómo protegerte de esta vulnerabilidad de Windows Hello
Los mismos investigadores que dieron a conocer esta vulnerabilidad también respondieron a preguntas sobre las soluciones para mitigarla. Concretamente, hablamos de dos medidas adicionales de seguridad que los usuarios de Windows pueden tomar.
- Activar la Seguridad de Inicio de Sesión Mejorada (o ESS). Esta función añade un punto más de protección a nuestro sistema operativo. Aísla los algoritmos de autenticación mediante Virtualization-Based Security (VBS). Dicha medida está activa de manera predeterminada para los equipos compatibles. Pero no todos cumplen los requisitos, que son: TPM 2.0, sensores biométricos certificados y firmware seguro. Para ello, dirígete a «Configuración» mediante la combinación Win + I, y navega a Cuentas, para lugo pulsar en «Opciones de inicio de sesión». En la sección de «Configuración adicional», busca «Iniciar sesión con una cámara externa o un lector de huellas digitales».
- Usar un PIN en lugar de biometría. Una alternativa sencilla y funcional si el hardware de nuestro equipo no soporta ESS o si los usuarios queremos minimizar cualquier riesgo.
Aun así, el propio equipo de investigación advirtió que, para resolver el problema de manera definitiva, se necesitarán cambios profundos. Es decir, la reescritura de parte del código o el almacenamiento de los datos biométricos directamente en el TPM.
| Solución Propuesta | Eficacia contra este ataque | Requisitos Clave | Nivel de Complejidad |
|---|---|---|---|
| Activar Seguridad Mejorada (ESS) | Alta (Bloquea el vector de ataque) | TPM 2.0, VBS, Sensor certificado | Baja (si el hardware es compatible) |
| Usar PIN en lugar de biometría | Media (Evita el componente vulnerable) | Ninguno | Muy Baja |
| Mantener software actualizado | Fundamental (Previene el acceso inicial) | Conexión a internet | Baja (automático) |
| Esperar parche de Microsoft | Definitiva (Corrige la raíz del problema) | N/A | N/A |