{"id":31684,"date":"2025-12-03T12:54:57","date_gmt":"2025-12-03T10:54:57","guid":{"rendered":"https:\/\/www.kaspersky.es\/blog\/?p=31684"},"modified":"2025-12-03T12:54:57","modified_gmt":"2025-12-03T10:54:57","slug":"chrome-extension-security-validation","status":"publish","type":"post","link":"https:\/\/www.kaspersky.es\/blog\/chrome-extension-security-validation\/31684\/","title":{"rendered":"Extensiones de navegador: no conf\u00edes nunca, verifica siempre"},"content":{"rendered":"<p>Las extensiones de navegador maliciosas siguen siendo un importante punto ciego para los equipos de ciberseguridad de muchas organizaciones. Se han convertido en un elemento permanente del arsenal de los ciberdelincuentes para el robo de sesiones y cuentas, el espionaje, el encubrimiento de otras actividades delictivas, el fraude publicitario y el robo de criptomonedas. Los incidentes de gran repercusi\u00f3n relacionados con extensiones maliciosas son frecuentes, desde la <a href=\"https:\/\/www.kaspersky.com\/blog\/chrome-extension-malicious-updates-and-mitigations\/52871\/\" target=\"_blank\" rel=\"noopener nofollow\">vulneraci\u00f3n de la extensi\u00f3n de seguridad Cyberhaven<\/a> hasta la <a href=\"https:\/\/www.kaspersky.es\/blog\/suspicious-chrome-extensions-with-6-million-installs\/31058\/\" target=\"_blank\" rel=\"noopener\">publicaci\u00f3n masiva de extensiones de infostealer<\/a>.<\/p>\n<p>Las extensiones resultan atractivas para los atacantes porque conceden permisos y un amplio acceso a la informaci\u00f3n dentro de las aplicaciones SaaS y los sitios web. Como no son aplicaciones independientes, a menudo eluden las pol\u00edticas de seguridad y las herramientas de control est\u00e1ndar.<\/p>\n<p>El equipo de seguridad de toda empresa debe abordar este problema de manera sistem\u00e1tica. La administraci\u00f3n de las extensiones de navegador requiere una combinaci\u00f3n de herramientas de administraci\u00f3n de pol\u00edticas y servicios o utilidades especializados en el an\u00e1lisis de extensiones. Este tema fue central en la charla de Athanasios Giatsos en el <a href=\"https:\/\/thesascon.com\" target=\"_blank\" rel=\"noopener nofollow\">Security Analyst Summit de este a\u00f1o<\/a>.<\/p>\n<h2>Capacidades de amenaza de las extensiones web e innovaciones en Manifest\u00a0V3<\/h2>\n<p>La extensi\u00f3n web de un navegador tiene amplio acceso a la informaci\u00f3n de la p\u00e1gina web: puede leer y modificar cualquier dato disponible para el usuario a trav\u00e9s de la aplicaci\u00f3n web, incluidos los registros financieros o m\u00e9dicos. Las extensiones tambi\u00e9n suelen obtener acceso a datos importantes que los usuarios no suelen ver: cookies, almacenamiento local y configuraci\u00f3n del proxy. Esto simplifica enormemente el secuestro de sesiones. A veces, las capacidades de las extensiones van mucho m\u00e1s all\u00e1 de las p\u00e1ginas web: pueden acceder a la ubicaci\u00f3n del usuario, las descargas del navegador, las capturas de pantalla del escritorio, el contenido del portapapeles y las notificaciones del navegador.<\/p>\n<p>En la arquitectura de extensi\u00f3n previamente dominante, las extensiones de Manifest\u00a0V2, que funcionaron en Chrome, Edge, Opera, Vivaldi, Firefox y Safari, son pr\u00e1cticamente id\u00e9nticas a las aplicaciones completas en t\u00e9rminos de capacidades. Pueden ejecutar continuamente scripts en segundo plano, mantener abiertas las p\u00e1ginas web invisibles, cargar y ejecutar scripts desde sitios web externos, y comunicarse con sitios arbitrarios para recuperar o enviar datos.<\/p>\n<p>A fin de frenar posibles abusos, as\u00ed como para limitar los <a href=\"https:\/\/www.kaspersky.es\/blog\/best-private-browser-in-2025\/30846\/\" target=\"_blank\" rel=\"noopener\">bloqueadores de anuncios<\/a>, Google ha migrado Chromium y Chrome a Manifest\u00a0V3. Esta actualizaci\u00f3n ha limitado o bloqueado muchas funciones de las extensiones. Las extensiones ahora deben declarar todos los sitios con los que se comunican, tienen prohibido ejecutar c\u00f3digo de terceros cargado din\u00e1micamente y deben utilizar microservicios de corta duraci\u00f3n en lugar de scripts persistentes en segundo plano. Aunque algunos tipos de ataques son ahora m\u00e1s dif\u00edciles de ejecutar debido a la nueva arquitectura, los atacantes pueden reescribir f\u00e1cilmente c\u00f3digo malicioso para conservar las funciones m\u00e1s necesarias, pero sacrificando el sigilo. Por lo tanto, depender \u00fanicamente de los navegadores y las extensiones que operan bajo Manifest\u00a0V3 dentro de una organizaci\u00f3n simplifica la supervisi\u00f3n, pero no es una soluci\u00f3n.<\/p>\n<p>Adem\u00e1s, V3 no resuelve el problema principal de las extensiones: generalmente se descargan de las tiendas de aplicaciones oficiales utilizando dominios leg\u00edtimos de Google, Microsoft o Mozilla. Su actividad parece ser iniciada por el propio navegador, lo que hace que sea extremadamente dif\u00edcil distinguir las acciones realizadas por una extensi\u00f3n de las ejecutadas manualmente por el usuario.<\/p>\n<h2>C\u00f3mo surgen las extensiones maliciosas<\/h2>\n<p>Bas\u00e1ndose en diversos incidentes p\u00fablicos, Athanasios Giatsos destaca varios escenarios en los que las extensiones maliciosas pueden mostrar su lado m\u00e1s desagradable:<\/p>\n<ul>\n<li>El desarrollador original vende una extensi\u00f3n leg\u00edtima y popular. Luego, el comprador la \u201cmejora\u201d con c\u00f3digo malicioso para mostrar anuncios, espiar u otros fines maliciosos. Los ejemplos incluyen <a href=\"https:\/\/securityaffairs.com\/114272\/malware\/the-great-suspender-extension-malware.html\" target=\"_blank\" rel=\"noopener nofollow\">The Great Suspender<\/a> y <a href=\"https:\/\/krebsonsecurity.com\/2020\/03\/the-case-for-limiting-your-browser-extensions\/\" target=\"_blank\" rel=\"noopener nofollow\">Page Ruler<\/a>.<\/li>\n<li>Los atacantes vulneran la cuenta del desarrollador y publican una actualizaci\u00f3n troyanizada para una extensi\u00f3n existente, como fue el caso de <a href=\"https:\/\/www.cyberhaven.com\/engineering-blog\/cyberhavens-preliminary-analysis-of-the-recent-malicious-chrome-extension\" target=\"_blank\" rel=\"noopener nofollow\">Cyberhaven<\/a>.<\/li>\n<li>La extensi\u00f3n est\u00e1 dise\u00f1ada con fines maliciosos desde el principio. O bien se hace pasar por una utilidad eficaz, como una falsa herramienta para <a href=\"https:\/\/www.kaspersky.es\/blog\/dangerous-browser-extensions-2023\/29510\/#:~:text=Rilide%20ataca%20a%20los%20usuarios%20de%20navegadores%20basados%20en%20Chromium\" target=\"_blank\" rel=\"noopener\">guardar en Google Drive<\/a>, o imita los nombres y dise\u00f1os de extensiones populares, como las docenas de clones de AdBlock disponibles.<\/li>\n<li>Una versi\u00f3n m\u00e1s sofisticada de este enga\u00f1o consiste en publicar inicialmente la extensi\u00f3n en un estado limpio, en el que se realiza una funci\u00f3n realmente \u00fatil. Las adiciones maliciosas se introducen semanas o incluso meses despu\u00e9s, una vez que la extensi\u00f3n ha ganado suficiente popularidad. <a href=\"https:\/\/www.kaspersky.es\/blog\/dangerous-browser-extensions-2023\/29510\/#:~:text=Extensiones%20falsas%20de%20ChatGPT%20que%20piratean%20cuentas%20de%20Facebook\" target=\"_blank\" rel=\"noopener\">ChatGPT for Google<\/a> es un ejemplo.<\/li>\n<\/ul>\n<p>En todos estos casos, la extensi\u00f3n est\u00e1 ampliamente disponible en Chrome Web Store y, en ocasiones, incluso se anuncia all\u00ed. Sin embargo, tambi\u00e9n existe un escenario de ataque dirigido en el que las p\u00e1ginas o los mensajes de phishing les piden a las v\u00edctimas que instalen una extensi\u00f3n maliciosa que <a href=\"https:\/\/www.kaspersky.es\/blog\/dangerous-browser-extensions-2023\/29510\/#:~:text=ChromeLoader%3A%20contenido%20pirateado%20con%20extensiones%20maliciosas\" target=\"_blank\" rel=\"noopener\">no est\u00e1 disponible para el p\u00fablico en general<\/a>.<\/p>\n<p>La distribuci\u00f3n centralizada a trav\u00e9s de Chrome Web Store, combinada con las actualizaciones autom\u00e1ticas tanto del navegador como de las extensiones, a menudo hace que, sin saberlo, los usuarios terminen con una extensi\u00f3n maliciosa sin haber hecho ning\u00fan esfuerzo por su parte. Si una extensi\u00f3n ya instalada en un ordenador recibe una actualizaci\u00f3n maliciosa, se instalar\u00e1 autom\u00e1ticamente.<\/p>\n<h2>Defensas organizativas contra extensiones maliciosas<\/h2>\n<p>En su charla, Athanasios ofreci\u00f3 una serie de recomendaciones generales:<\/p>\n<ul>\n<li>Adoptar una pol\u00edtica empresarial sobre el uso de extensiones de navegador.<\/li>\n<li>Prohibir cualquier extensi\u00f3n que no est\u00e9 incluida expl\u00edcitamente en una lista aprobada por los departamentos de ciberseguridad y TI.<\/li>\n<li>Auditar continuamente todas las extensiones instaladas y sus versiones.<\/li>\n<li>Cuando se actualizan las extensiones, rastrear los cambios en los permisos que se otorgan y supervisar cualquier cambio en la propiedad de las extensiones o de su equipo de desarrolladores.<\/li>\n<li>Incorporar informaci\u00f3n sobre los riesgos y las reglas del uso de las extensiones de navegador en los programas de formaci\u00f3n de concienciaci\u00f3n sobre la seguridad para todo el personal.<\/li>\n<\/ul>\n<p>A\u00f1adimos algunas ideas pr\u00e1cticas y consideraciones espec\u00edficas a estas recomendaciones.<\/p>\n<p><strong>Lista restringida de extensiones y navegadores.<\/strong> Adem\u00e1s de aplicar pol\u00edticas de seguridad al navegador oficialmente aprobado por la empresa, es fundamental prohibir la instalaci\u00f3n de versiones port\u00e1tiles y <a href=\"https:\/\/www.kaspersky.es\/blog\/ai-browser-security-privacy-risks\/31416\/\" target=\"_blank\" rel=\"noopener\">navegadores de IA de moda como Comet<\/a> u otras soluciones no autorizadas que permiten instalar las mismas extensiones peligrosas. Al implementar este paso, aseg\u00farate de que los privilegios de administrador local est\u00e9n restringidos al personal de TI y a otros empleados cuyas funciones laborales los requieran estrictamente.<\/p>\n<p>Como parte de la pol\u00edtica del navegador principal de la empresa, debes desactivar el modo desarrollador y prohibir la instalaci\u00f3n de extensiones desde archivos locales. Para Chrome, puedes administrar esto a trav\u00e9s de la <a href=\"https:\/\/support.google.com\/chrome\/a\/answer\/6177431?hl=es\" target=\"_blank\" rel=\"noopener nofollow\">Consola de administraci\u00f3n<\/a>. Esta configuraci\u00f3n tambi\u00e9n est\u00e1 disponible a trav\u00e9s de las Directivas de grupo de Windows, los perfiles de configuraci\u00f3n de macOS o mediante un <a href=\"https:\/\/support.google.com\/chrome\/a\/answer\/7517525?hl=es\" target=\"_blank\" rel=\"noopener nofollow\">archivo de directiva JSON<\/a> en Linux.<\/p>\n<p><strong>Actualizaciones administradas.<\/strong> Implementa la <a href=\"https:\/\/support.google.com\/chrome\/a\/answer\/11190170?hl=es\" target=\"_blank\" rel=\"noopener nofollow\">fijaci\u00f3n de versiones<\/a> para evitar que las actualizaciones de las extensiones permitidas se instalen inmediatamente en toda la empresa. Los equipos de TI y ciberseguridad deben probar peri\u00f3dicamente las nuevas versiones de las extensiones aprobadas y fijar las versiones actualizadas solo despu\u00e9s de que hayan sido revisadas.<\/p>\n<p><strong>Defensa multicapa.<\/strong> Es obligatorio instalar un <a href=\"https:\/\/www.kaspersky.es\/enterprise-security\/endpoint-detection-response-edr?icid=es_kdailyplacehold_acq_ona_smm__onl_b2b_kasperskydaily_wpplaceholder_______\" target=\"_blank\" rel=\"noopener\">Agente de EDR<\/a> en todos los dispositivos corporativos para evitar que los usuarios inicien navegadores no autorizados, mitigar los riesgos de visitar sitios de phishing maliciosos y bloquear las descargas de malware. Tambi\u00e9n es necesario rastrear las solicitudes de DNS y el tr\u00e1fico de red del navegador a nivel del firewall para la detecci\u00f3n en tiempo real de las comunicaciones con hosts sospechosos y otras anomal\u00edas.<\/p>\n<p><strong>Supervisi\u00f3n continua.<\/strong> Utiliza soluciones de EDR y <a href=\"https:\/\/www.kaspersky.es\/enterprise-security\/unified-monitoring-and-analysis-platform?icid=es_kdailyplacehold_acq_ona_smm__onl_b2b_kasperskydaily_wpplaceholder_______\" target=\"_blank\" rel=\"noopener\">SIEM<\/a> para recopilar detalles del estado del navegador desde las estaciones de trabajo de los empleados. Esto incluye la lista de extensiones de cada navegador instalado, junto con los archivos de manifiesto para el an\u00e1lisis de versiones y permisos. De este modo, se pueden detectar r\u00e1pidamente las nuevas extensiones que se instalan o las versiones que se actualizan, as\u00ed como los cambios en los permisos concedidos.<\/p>\n<h2>C\u00f3mo examinar las extensiones de navegador<\/h2>\n<p>Para implementar los controles mencionados anteriormente, la empresa necesita una base de datos interna de extensiones aprobadas y prohibidas. Desafortunadamente, las tiendas de aplicaciones y los propios navegadores no ofrecen mecanismos para evaluar el riesgo a escala organizativa ni para completar autom\u00e1ticamente dicha lista. Por tanto, el equipo de ciberseguridad tiene que crear tanto este proceso como la lista. Los empleados tambi\u00e9n necesitar\u00e1n un procedimiento formal para presentar solicitudes de incorporaci\u00f3n de extensiones a la lista aprobada.<\/p>\n<p>La evaluaci\u00f3n de las necesidades empresariales y las alternativas disponibles se lleva a cabo de manera \u00f3ptima con un representante de la unidad de negocio correspondiente. Sin embargo, la evaluaci\u00f3n de riesgos sigue siendo responsabilidad exclusiva del equipo de seguridad. No es necesario descargar manualmente las extensiones y compararlas entre las diferentes tiendas de extensiones. Esta tarea puede realizarse mediante diversas herramientas, como utilidades de c\u00f3digo abierto, servicios en l\u00ednea gratuitos y plataformas comerciales.<\/p>\n<p>Se pueden usar servicios como <a href=\"https:\/\/spin.ai\/application-risk-assessment\/\" target=\"_blank\" rel=\"noopener nofollow\">Spin.AI<\/a> y <a href=\"https:\/\/dex.koi.security\/\" target=\"_blank\" rel=\"noopener nofollow\">Koidex<\/a> (antes, ExtensionTotal) para evaluar el perfil de riesgo general. Ambos mantienen una base de datos de extensiones populares, por lo que la evaluaci\u00f3n suele ser instant\u00e1nea. Utilizan LLM para generar un breve resumen de las propiedades de la extensi\u00f3n, pero tambi\u00e9n proporcionan un an\u00e1lisis detallado que incluye los permisos necesarios, el perfil del desarrollador y el historial de versiones, valoraciones y descargas.<\/p>\n<p>Para examinar los datos b\u00e1sicos de las extensiones, tambi\u00e9n puedes utilizar <a href=\"https:\/\/chrome-stats.com\/\" target=\"_blank\" rel=\"noopener nofollow\">Chrome-Stats<\/a>. Si bien est\u00e1 dise\u00f1ado principalmente para desarrolladores de extensiones, este servicio muestra calificaciones, rese\u00f1as y otros datos de la tienda. Fundamentalmente, les permite a los usuarios descargar directamente la versi\u00f3n actual y varias versiones anteriores de una extensi\u00f3n, lo que simplifica la investigaci\u00f3n de incidentes.<\/p>\n<p>Puedes utilizar herramientas como <a href=\"https:\/\/github.com\/Rob--W\/crxviewer\" target=\"_blank\" rel=\"noopener nofollow\">CRX Viewer<\/a> para realizar un an\u00e1lisis m\u00e1s profundo de las extensiones sospechosas o cr\u00edticas. Esta herramienta les permite a los analistas examinar los componentes internos de la extensi\u00f3n filtrando y mostrando c\u00f3modamente los contenidos con especial atenci\u00f3n al c\u00f3digo HTML y JavaScript.<\/p>\n<input type=\"hidden\" class=\"category_for_banner\" value=\"mdr\"><input type=\"hidden\" class=\"placeholder_for_banner\" data-cat_id=\"mdr\" value=\"31074\">\n","protected":false},"excerpt":{"rendered":"<p>Medidas y herramientas sistem\u00e1ticas que las organizaciones pueden utilizar para defenderse de las extensiones de navegador maliciosas.<\/p>\n","protected":false},"author":2722,"featured_media":31618,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[2202,2754],"tags":[378,13,123,1690,144,85,2518,2252,245,674,612,3737],"class_list":{"0":"post-31684","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-business","8":"category-enterprise","9":"tag-amenazas","10":"tag-chrome","11":"tag-contrasenas","12":"tag-extensiones","13":"tag-firefox","14":"tag-fraude","15":"tag-navegadores","16":"tag-negocios","17":"tag-safari","18":"tag-sas","19":"tag-tecnologia","20":"tag-thesas2025"},"hreflang":[{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/chrome-extension-security-validation\/31684\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/chrome-extension-security-validation\/29851\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/chrome-extension-security-validation\/24921\/"},{"hreflang":"ar","url":"https:\/\/me.kaspersky.com\/blog\/chrome-extension-security-validation\/13036\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/chrome-extension-security-validation\/29747\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/chrome-extension-security-validation\/28795\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/chrome-extension-security-validation\/30323\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/chrome-extension-security-validation\/40914\/"},{"hreflang":"tr","url":"https:\/\/www.kaspersky.com.tr\/blog\/chrome-extension-security-validation\/14048\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/chrome-extension-security-validation\/54795\/"},{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/chrome-extension-security-validation\/23425\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/chrome-extension-security-validation\/32947\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/chrome-extension-security-validation\/35680\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/chrome-extension-security-validation\/35308\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.es\/blog\/tag\/navegadores\/","name":"navegadores"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/posts\/31684","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/users\/2722"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/comments?post=31684"}],"version-history":[{"count":1,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/posts\/31684\/revisions"}],"predecessor-version":[{"id":31685,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/posts\/31684\/revisions\/31685"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/media\/31618"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/media?parent=31684"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/categories?post=31684"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/tags?post=31684"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}