¿Cómo funcionan las passkeys de Singpass y quién puede usarlas?
Las passkeys de Singpass comenzaron su fase beta el 1 de julio de 2026 para usuarios de iPhone en navegadores móviles. Para registrarse hay que actualizar la aplicación Singpass, abrir el aviso de passkeys en la pantalla de inicio y seguir las instrucciones.
Las passkeys de Singpass comenzaron su fase beta el 1 de julio de 2026 para usuarios de iPhone en navegadores móviles.
Para registrarse hay que actualizar la aplicación Singpass, abrir el aviso de passkeys en la pantalla de inicio y seguir las instrucciones.
En 2025 Singapur registró 6.264 casos de phishing y pérdidas de 39,9 millones de dólares singapurenses, dentro de un total de 37.308 estafas y 913,1 millones de dólares singapurenses perdidos.
What are the details of Singpass's new passkey feature launching July 1, 2026 — how does its public-private encryption key pair work to prevIllustration of Singpass passkey authentication on a mobile device.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: What are the details of Singpass's new passkey feature launching July 1, 2026 — how does its public-private encryption key pair work to prev. Article summary: Singpass introduced passkeys in a beta launch on 1 July 2026, initially for iPhone users. The feature replaces a reusable secret—such as a password, OTP, or QR approval—with a device-bound cryptographic proof that is sub. Topic tags: general, documentation, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fak
openai.com
Singpass, la plataforma de identidad digital nacional de Singapur, añadió una nueva forma opcional de iniciar sesión: las passkeys. La fase beta comenzó el 1 de julio de 2026 para usuarios de iPhone (iOS) que acceden desde navegadores móviles. La compatibilidad con Android y con los navegadores de ordenadores llegará en fases posteriores.
La diferencia clave es que una passkey no añade otro secreto que un estafador pueda robar. En su lugar, utiliza una credencial criptográfica vinculada al dispositivo y al servicio legítimo de Singpass, lo que la hace considerablemente más resistente al phishing.
Qué sustituyen las passkeys
Los métodos tradicionales pueden dejar información reutilizable en manos de un atacante:
una contraseña puede copiarse;
un código de un solo uso —OTP, por sus siglas en inglés— puede interceptarse o reenviarse;
un código QR puede manipularse para que la víctima apruebe un inicio de sesión iniciado por otra persona.
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
¿Cuál es la respuesta corta a "¿Cómo funcionan las passkeys de Singpass y quién puede usarlas?"?
Las passkeys de Singpass comenzaron su fase beta el 1 de julio de 2026 para usuarios de iPhone en navegadores móviles.
¿Cuáles son los puntos clave a validar primero?
Las passkeys de Singpass comenzaron su fase beta el 1 de julio de 2026 para usuarios de iPhone en navegadores móviles. Para registrarse hay que actualizar la aplicación Singpass, abrir el aviso de passkeys en la pantalla de inicio y seguir las instrucciones.
¿Qué debo hacer a continuación en la práctica?
En 2025 Singapur registró 6.264 casos de phishing y pérdidas de 39,9 millones de dólares singapurenses, dentro de un total de 37.308 estafas y 913,1 millones de dólares singapurenses perdidos.
Con una passkey, durante la autenticación no se introduce ni se transmite una contraseña o un OTP. El usuario sigue demostrando que controla su dispositivo mediante datos biométricos o un código local, pero Singpass no recibe los datos de Face ID, Touch ID o la huella dactilar, ni tampoco la clave privada. Recibe una respuesta criptográfica que puede verificar, pero que no puede reutilizarse como una contraseña.
El sistema de dos claves, explicado de forma sencilla
Al registrar una passkey, el iPhone genera un par único de claves criptográficas:
La clave privada permanece en el dispositivo registrado y sirve para crear una firma digital.
La clave pública correspondiente se registra en Singpass y permite comprobar esa firma.
Durante el inicio de sesión, Singpass envía un desafío nuevo.
El teléfono firma ese desafío solo después de que el usuario autorice la acción con Face ID, Touch ID o el código de seis cifras de la aplicación Singpass.
Singpass verifica la respuesta con la clave pública que tiene almacenada.
Técnicamente, no se trata simplemente de un intercambio de claves de cifrado, sino de una autenticación basada en criptografía de clave pública. La clave privada nunca se envía a Singpass y la clave pública, por sí sola, no permite hacerse pasar por el usuario.
Además, las passkeys están vinculadas al dominio legítimo del servicio, un principio conocido como autenticación ligada al origen (origin-bound authentication). Por eso, una web falsa que imite la página de Singpass no debería poder obtener una respuesta válida para el dominio auténtico.
El resultado práctico es importante: una copia de la pantalla de inicio de sesión tiene mucho menos valor para el estafador. No hay una contraseña, un OTP ni una aprobación QR reutilizable que robar y repetir en otro sitio.
Quién puede usarla ahora
El despliegue inicial es limitado:
iPhone y iOS: disponibles desde el 1 de julio de 2026 en navegadores móviles.
Android: previsto para una fase posterior.
Portátiles y ordenadores de sobremesa: el acceso desde navegadores de escritorio también quedó aplazado para una fase posterior.
Por tanto, tener un iPhone no significa necesariamente que la opción aparezca en todos los servicios de Singpass desde el primer día. La disponibilidad depende también del servicio y de la fase de despliegue correspondiente.
Cómo registrar una passkey de Singpass
Para la primera fase en iPhone, el registro se realiza desde la aplicación móvil de Singpass:
Actualiza la aplicación a su versión más reciente.
Ábrela y selecciona el aviso de passkeys que aparece en la pantalla de inicio.
Sigue las instrucciones que aparecen en pantalla para crearla.
Una vez registrada, la passkey se utiliza mediante Face ID, Touch ID, la huella dactilar o el código de seis cifras de la aplicación, según el dispositivo y la configuración disponible. El usuario no tiene que escribir su contraseña de Singpass en la web participante.
Para qué sirve la comprobación por Bluetooth
El acceso desde otro dispositivo plantea un riesgo adicional: un estafador podría intentar convencer a la víctima para que apruebe una sesión iniciada en un ordenador o teléfono controlado por él. En los accesos entre dispositivos, Singpass puede activar una comprobación Bluetooth de corto alcance para confirmar que el teléfono registrado está físicamente cerca del dispositivo que solicita el inicio de sesión.
Esta comprobación de proximidad no reemplaza la verificación del par de claves. Añade una prueba adicional: el teléfono que guarda la passkey está cerca del equipo que pide el acceso. Así se dificulta un fraude completamente remoto, como enviar a la víctima un código QR y guiarla por teléfono mientras el estafador opera desde otro lugar.
Por qué siguen disponibles las contraseñas, los QR y otros métodos
Las passkeys son una opción adicional durante la fase beta, no un reemplazo universal inmediato. Los métodos existentes siguen siendo necesarios para quienes no tienen un iPhone compatible, todavía no se han registrado o utilizan servicios y dispositivos que aún no forman parte del despliegue.
Estas alternativas también permiten mantener la cobertura y la accesibilidad, aunque dependen más del comportamiento del usuario. Una persona puede ser manipulada para revelar una contraseña o un OTP, escanear un QR fraudulento o aprobar una solicitud inesperada. La Policía de Singapur continúa recordando que nunca se deben compartir las contraseñas de Singpass ni los datos de autenticación de dos factores (2FA) con desconocidos.
Las passkeys reducen la cantidad de credenciales que pueden capturarse mediante phishing, pero no eliminan todas las estafas. Un delincuente todavía puede hacerse pasar por una organización, presionar a alguien para que revele información personal o intentar aprovechar los procesos de recuperación y toma de control de cuentas.
La relación con FIDO2 y WebAuthn
El diseño de Singpass sigue el modelo de criptografía de clave pública ligada al origen asociado con los estándares FIDO y WebAuthn. FIDO2 —siglas de Fast IDentity Online 2— es un estándar abierto de autenticación creado para utilizar credenciales criptográficas resistentes al phishing en lugar de secretos reutilizables.
El uso de estándares abiertos es relevante porque permite que las passkeys funcionen dentro de un ecosistema más amplio de servicios y dispositivos, en vez de depender de un formato propietario. La FIDO Alliance define las passkeys como credenciales vinculadas a una cuenta de una web o aplicación, que pueden utilizarse con un teléfono, un ordenador o una llave de seguridad, siempre según la implementación de cada servicio.
En Singpass, el beneficio más tangible es la vinculación con el dominio: el autenticador debe responder ante el servicio legítimo, no ante una web de phishing visualmente idéntica.
El contexto de las estafas en Singapur
Según las cifras oficiales de 2025, Singapur registró 37.308 casos de estafa y pérdidas aproximadas de 913,1 millones de dólares singapurenses (S$). Son cifras de todas las estafas, no únicamente de phishing.
Las estadísticas anuales separan el phishing del resto: hubo 6.264 casos y 39,9 millones de dólares singapurenses perdidos por este tipo de fraude en 2025. Por eso, esos datos muestran que el phishing es una parte importante del problema general, pero no demuestran que todas las pérdidas se debieran al robo de credenciales de Singpass.
La medida tiene, por tanto, un objetivo concreto: hacer mucho menos útil la fase de captura de credenciales en los ataques de phishing. Mientras los métodos antiguos sigan disponibles, los usuarios deben comprobar la dirección de la web, rechazar solicitudes de inicio de sesión inesperadas y no compartir nunca sus datos de Singpass.
