Extensiones de navegador maliciosas: el drenaje silencioso de credenciales en la tienda
Una extensión de navegador recibe más confianza que casi cualquier otro software que un usuario instala. Obtiene un lugar fijo dentro de la sesión, a menudo con permiso para leer y cambiar datos en cada sitio visitado. Esa confianza es exactamente lo que monetizan los autores de extensiones maliciosas, y una serie de campañas documentadas muestra cómo listados de tiendas que parecen herramientas corrientes trabajan en silencio como drenajes de credenciales.
Lo que una extensión puede alcanzar
El alcance lo determinan los permisos que el usuario aprueba. Los investigadores de Kaspersky enumeran el abanico: cookies, contraseñas y datos de tarjetas de pago tomados de formularios web, contenidos del portapapeles, capturas de pantalla, incluso pulsaciones de teclas capturadas como un keylogger. Campañas reales coinciden con la lista. Socket, una firma de seguridad de cadena de suministro, documentó más de 100 extensiones maliciosas en la Chrome Web Store en abril de 2026; 54 de ellas usaban la llamada chrome.identity.getAuthToken para cosechar tokens de portador OAuth2 de Google, que permiten al operador actuar como el usuario, y una extensión extraía datos de sesión de Telegram Web del almacenamiento local cada quince segundos y podía sobrescribir la sesión de la víctima con datos del atacante. Un segundo listado que sobrevivió durante años: en diciembre de 2025, BleepingComputer informó sobre dos extensiones de la Chrome Web Store llamadas Phantom Shuttle, vendidas por entre 1,4 y 13,6 dólares como herramientas de prueba de proxies para usuarios de China y activas desde al menos 2017. Las extensiones redirigían más de 170 dominios de alto valor a través de proxies controlados por el atacante y, mientras actuaban como intermediario (man-in-the-middle), capturaban envíos de formularios, leían cookies de sesión de las cabeceras HTTP y extraían tokens de API. Ambas seguían listadas cuando se publicó el informe. Listados de la tienda y los cargadores que los omiten
La escala no es marginal. Según el resumen de Kaspersky de los datos de 2020, Google eliminó 106 extensiones de Chrome que robaban datos, con 32 millones de descargas combinadas, afectando a redes de finanzas, petróleo y gas, sanidad y gobierno. La campaña de Socket muestra que el formato sigue activo: las extensiones se escondían tras cinco identidades de editor y categorías que iban de clientes de Telegram a juegos de tragamonedas y mejoras de vídeo, y 45 de ellas contenían una función de inicio oculta que obtenía comandos de infraestructura del atacante. No toda extensión maliciosa pasa siquiera por una revisión de la tienda. El informe de noviembre de 2023 de Trend Micro sobre ParaSiteSnatcher documentó un framework modular y fuertemente ofuscado, entregado por un descargador VBScript alojado en Dropbox y Google Cloud. Tras registrar a la víctima y recuperar URL de comando y control ofuscadas, el instalador borraba los accesos directos del navegador y creaba unos nuevos que cargan la extensión, fijando la persistencia. La extensión interceptaba peticiones POST con datos de cuenta antes de que salieran del navegador, monitorizaba saldos, manipulaba transacciones PIX en bancos brasileños y robaba cookies, incluidas cookies de Microsoft live.com útiles para ataques de pass-the-cookie contra cuentas en la nube. La brecha de revisión: la aprobación cubre la subida, no el futuro
La revisión de la tienda examina el paquete que un desarrollador sube. No puede examinar lo que esa misma extensión hará meses después. Kaspersky señala que las extensiones se actualizan automáticamente, de modo que un complemento legítimo puede volverse malicioso después: la extensión Particle fue vendida y actualizada para inyectar publicidad, alcanzando a más de 30.000 usuarios antes de ser detenida. El código alojado remotamente lleva esto más lejos, porque un paquete que obtiene su lógica real de un servidor en tiempo de ejecución es, en la práctica, imposible de revisar. Manifest V3 es la respuesta estructural de Google: las extensiones deben empaquetar todo el código que ejecutan dentro del paquete revisado, y el código alojado remotamente, JavaScript o WebAssembly cargado desde fuera, se rechaza, incluidas las rutas de código muertas que pudieran cargarlo. La justificación es precisamente el problema posterior a la aprobación: el código que puede cambiar tras la revisión anula la revisión. Las excepciones son estrechas: gestores de user scripts, la interfaz de depuración y iframes aislados. El hallazgo de Socket de que 45 extensiones obtenían comandos en tiempo de ejecución de un servidor central muestra el comportamiento al que apunta la regla, y por qué las comprobaciones del listado por sí solas no la detectan. Defensa práctica
La rutina no tiene nada de gloriosa. Audite periódicamente la lista de extensiones instaladas y elimine todo lo no reconocido o sin uso; Socket publicó los IDs de extensiones de su campaña para que los usuarios pudieran comparar su propia lista con entradas conocidas como maliciosas. Mantenga bajo el total, porque cada instalación es una concesión permanente que se renueva en silencio. Trate la acumulación de permisos como una señal de alerta; el ejemplo de Kaspersky es una calculadora que solicita geolocalización o historial de navegación. Favorezca extensiones con un editor estable y un conjunto pequeño y explicable de permisos antes que lo que aparece primero en la búsqueda de la tienda. Compartimente: un perfil de navegador separado para banca y administración de cuentas limita lo que cualquier complemento puede alcanzar, y la misma lógica lleva a las empresas a bloquear o forzar la instalación de extensiones de la tienda en dispositivos gestionados. El premio es la sesión autenticada, el mismo objetivo que persiguen troyanos bancarios móviles como ToxicPanda, abordado desde dentro del navegador en lugar de mediante una superposición en la pantalla. Una extensión pide menos atención que un correo de phishing y, para el operador, paga de forma comparable. Las campañas documentadas difieren en el método de entrega, ya sea listado en la tienda, actualización automática, dropper y acceso directo, pero comparten la forma: conseguir el listado, ganar confianza, esperar y luego drenar credenciales desde una posición que el usuario nunca ve.
