Riesgos de extensiones del navegador: permisos, privacidad y seguridad

Lectura de 9 min aprox.

Las extensiones de navegador ofrecen funciones convenientes como el bloqueo de anuncios y la gestión de contraseñas, pero también conllevan serios riesgos de seguridad. Los permisos otorgados a las extensiones son extremadamente poderosos: pueden leer el contenido de las páginas web que visitas, interceptar datos de entrada e incluso alterar las comunicaciones. Esto significa que pueden tener capacidades equivalentes al spyware. Según un estudio de Kaspersky de 2024, aproximadamente el 33% de las extensiones publicadas en Chrome Web Store solicitan permiso para "leer todos los datos del sitio", y se ha detectado comportamiento malicioso en algunas de ellas. A partir de 2025, mientras avanza la transición a Manifest V3, las tácticas de las extensiones maliciosas también se vuelven más sofisticadas, con un aumento de los "ataques a la cadena de suministro de extensiones" donde se adquieren extensiones legítimas y se les inyecta código malicioso. Este artículo explica cómo comprender correctamente los riesgos de las extensiones de navegador y operar de forma segura utilizando Passtsuku.com.

Qué deberías hacer

El principio clave para gestionar los riesgos de las extensiones del navegador es "mantener lo mínimo necesario". Si eres principiante, revisa tus extensiones instaladas y elimina todas las que no estés usando. Simplemente restringir los permisos de las extensiones restantes a "solo al hacer clic" reducirá significativamente el riesgo. Para usuarios intermedios, reduce tus extensiones a 10 o menos, y gestiona las contraseñas de servicios financieros con un gestor de contraseñas en lugar de guardarlas en el navegador. Genera contraseñas únicas para cada servicio con Passtsuku.com y construye defensas multicapa contra filtraciones a través de extensiones.

Los peligros de los permisos de extensiones del navegador

Permisos de lectura de páginas web

Muchas extensiones solicitan permiso para "leer todos los datos del sitio web." Una vez otorgado, la extensión puede leer libremente el contenido de cada página que visitas, contraseñas ingresadas en formularios, números de tarjetas de crédito e información personal. Técnicamente, las extensiones pueden acceder directamente al DOM a través de content scripts y obtener valores de campos de contraseña con código como document.querySelectorAll('input[type="password"]'). Este tipo de solicitud excesiva de permisos comparte similitudes estructurales con los riesgos de permisos OAuth. Incluso extensiones legítimas han tenido casos donde las cuentas de desarrolladores fueron comprometidas y se inyectó código malicioso.

Interceptación de comunicaciones de red

Las extensiones que utilizan la webRequest API tienen la capacidad de interceptar y modificar las comunicaciones de red del navegador. Incluso las comunicaciones cifradas con HTTPS se pasan a las extensiones en estado descifrado dentro del navegador, lo que permite leer los datos transmitidos. Abusar de este permiso permite robar credenciales de inicio de sesión y tokens de sesión. Ten en cuenta que Manifest V3 de Chrome restringe las capacidades de interceptación de la webRequest API y promueve la migración a la declarativeNetRequest API, pero Firefox aún soporta Manifest V2, por lo que existen diferencias en los modelos de permisos entre navegadores.

Para aprender sistemáticamente sobre los modelos de permisos de extensiones de navegador y técnicas de ataque, guías de seguridad de extensiones de navegador (Amazon) pueden ser útiles.

Casos reales de amenazas con extensiones

Secuestro de extensiones legítimas

Ha habido casos donde las cuentas de desarrolladores de extensiones populares fueron comprometidas mediante ataques de phishing, y se distribuyeron actualizaciones maliciosas. En diciembre de 2024, la extensión de Chrome de Cyberhaven fue reemplazada por una versión maliciosa debido al compromiso de la cuenta del desarrollador, afectando a aproximadamente 400,000 usuarios. Dado que las actualizaciones se distribuyen automáticamente, los usuarios creían estar usando una extensión legítima mientras estaban infectados con malware sin saberlo. Un error común es pensar que "las extensiones de las tiendas oficiales son seguras", pero las revisiones de la tienda no son perfectas, y el código ofuscado o las cargas maliciosas de ejecución retardada pueden evadir la detección.

Robo de información mediante extensiones falsas

La Chrome Web Store y Firefox Add-ons a veces tienen extensiones falsas que usan nombres e iconos similares a extensiones populares. Estas extensiones falsas actúan como una forma de phishing, enviando contraseñas e historial de navegación a servidores externos después de la instalación. Un estudio de 2023 informó que se eliminaron más de 1,500 extensiones maliciosas de la Chrome Web Store anualmente, con un total acumulado de más de 75 millones de descargas. Verifica cuidadosamente la credibilidad del desarrollador, el número de reseñas y la frecuencia de actualización antes de instalar.

Cómo elegir y gestionar extensiones de forma segura

Lista de verificación previa a la instalación

Antes de instalar una extensión, verifica lo siguiente: si el desarrollador es una empresa o individuo confiable, si el código fuente está disponible públicamente (en caso de código abierto), si los permisos solicitados son razonables para la funcionalidad, si hay suficientes reseñas y calificaciones, y si la fecha de última actualización no es demasiado antigua. Presta especial atención a las extensiones que solicitan permiso para "leer todos los datos del sitio web" - considera cuidadosamente si ese permiso es realmente necesario. Chrome ofrece una opción para restringir los permisos de extensiones a "solo al hacer clic," lo que reduce significativamente el riesgo en comparación con permitir acceso constante. Los principios de instalación segura de aplicaciones se aplican igualmente al agregar extensiones de navegador.

Auditorías periódicas de extensiones

Revisa periódicamente tus extensiones instaladas y elimina las que no estés usando. Cuantas más extensiones tengas, mayor será tu superficie de ataque. Los investigadores de seguridad recomiendan mantener las extensiones instaladas en 10 o menos. En Chrome, puedes ver las extensiones instaladas en `chrome://extensions`, y en Firefox en `about:addons`. Vuelve a verificar los permisos de cada extensión y restringe los innecesarios. Como caso extremo, las extensiones que no se han actualizado durante mucho tiempo (más de 1 año sin actualizaciones) pueden indicar que el desarrollador ha abandonado el mantenimiento, aumentando el riesgo de vulnerabilidades sin parchear.

Mejora la seguridad de contraseñas con Passtsuku.com

Al guardar contraseñas en el navegador, existe el riesgo de robo por extensiones maliciosas. Es importante gestionar contraseñas fuertes generadas con Passtsuku.com usando un gestor de contraseñas y no depender demasiado de la función de autocompletado del navegador. Para servicios financieros y cuentas importantes en particular, recomendamos no guardar contraseñas en el navegador y en su lugar copiar y pegar manualmente desde un gestor de contraseñas. Dado que los gestores de contraseñas también funcionan como extensiones de navegador, es esencial seleccionar un producto altamente confiable e instalarlo solo desde el sitio web oficial.

Para métodos prácticos sobre la gestión de permisos de extensiones y la protección de la privacidad, guías de privacidad del navegador y gestión de permisos de extensiones (Amazon) también pueden ser útiles.

Resumen: Minimizar los riesgos de las extensiones

Las extensiones de navegador son convenientes, pero sus poderosos permisos pueden representar riesgos de seguridad significativos. Mantén las extensiones instaladas al mínimo necesario y revisa cuidadosamente las solicitudes de permisos. Al igual que con la protección contra keyloggers, genera contraseñas fuertes únicas para cada servicio con Passtsuku.com y construye defensas multicapa contra filtraciones a través de extensiones. Hacer de las auditorías periódicas y la revisión de permisos un hábito es la forma más confiable de minimizar los riesgos de las extensiones.

Lista de verificación de seguridad de extensiones

• ¿Tus extensiones instaladas están limitadas a 10 o menos?
• ¿Los permisos de cada extensión son razonables para su funcionalidad?
• ¿Hay extensiones que no se han actualizado en más de un año?
• ¿Has restringido los permisos de "leer todos los datos del sitio" a "solo al hacer clic"?
• ¿Has verificado que el desarrollador es una empresa o individuo confiable?
• ¿Eres consciente del riesgo de que el malware robe las contraseñas guardadas en tu navegador?

Acciones que puedes tomar ahora mismo

1. Abre la lista de extensiones de tu navegador (Chrome: chrome://extensions) y elimina todas las extensiones que no estés usando
2. Restringe los permisos de las extensiones restantes a "solo al hacer clic" (Chrome: Detalles de la extensión → Acceso al sitio)
3. Actualiza tus contraseñas de servicios financieros a 16+ caracteres usando Passtsuku.com y guárdalas en un gestor de contraseñas en lugar del navegador
4. Verifica si hay extensiones que no se han actualizado en más de un año y elimina las que apliquen

Preguntas frecuentes

¿Qué riesgos de seguridad presentan las extensiones del navegador?

Las extensiones pueden tener permisos para leer todo el contenido de las páginas durante la navegación, arriesgando el robo de contraseñas e información de tarjetas de crédito. También hay casos donde extensiones legítimas se convierten en malware mediante actualizaciones, o cuentas de desarrolladores son secuestradas para distribuir código malicioso.

¿Cuáles son los puntos clave para elegir extensiones de navegador seguras?

Instale solo desde tiendas oficiales y elija extensiones con muchas descargas y reseñas. Verifique que los permisos solicitados no sean excesivos para la funcionalidad y que el desarrollador sea una empresa o persona de confianza. Evite extensiones con fechas de última actualización muy antiguas.

¿Cómo puedo gestionar de forma segura las extensiones instaladas?

Revise regularmente su lista de extensiones y elimine las que no use. Mantenga la actualización automática activada pero acostúmbrese a verificar cambios de permisos después de las actualizaciones. Para operaciones importantes como banca en línea, usar un perfil con extensiones desactivadas o modo incógnito también es efectivo.