A veces instalamos una extensión porque promete ahorrarnos tiempo, darnos información útil traducir una página, organizar pestañas, resumir textos o bloquear anuncios, entre otras cosas.
Lo que no tenemos en cuenta es que una extensión puede pedir acceso a cierta información que pasa por el navegador desde el que haces compras, revisas tu correo, entras a tus cuentas y manejas información personal.
Aclaramos que el riesgo no está en instalar extensiones pero sí en hacerlo sin revisar qué permisos estás dando y quién está detrás de esas herramientas.
Qué hace una extensión de navegador que la mayoría no sabe
Una extensión no solo le suma una función al navegador. Dependiendo de los permisos que tenga, puede acceder a información relacionada con tu navegación en tiempo real.
La Superintendencia de Industria y Comercio (SIC) recomienda verificar los permisos y accesos que otorgas al software y a las aplicaciones que instalas.
También incluye dentro de sus recomendaciones de seguridad revisar qué complementos adicionales tienes en el navegador.
Y no es una precaución exagerada.
Por ejemplo, en 2023, el Centro Cibernético Policial de Colombia alertó sobre una extensión falsa llamada Quick Access to ChatGPT.
La herramienta se promocionaba como una forma rápida de acceder a la IA, pero al mismo tiempo podía recoger información del navegador y capturar cookies de sesiones activas.
💡 Dato clave: los bloqueadores de anuncios y los descargadores de contenido son las dos categorías de extensiones más clonadas y falsificadas en internet. Como son las herramientas más buscadas por los usuarios, los ciberdelincuentes las usan como el “caballo de Troya” perfecto para camuflar código malicioso sin levantar sospechas.
Qué permisos pide una extensión y por qué importa leerlos
Cuando vas a instalar una extensión aparece la ventana de permisos ¿cuántas veces te has detenido a leer qué dice? Por lo general, lo que hacemos es ir directo a aceptar para terminar rápido ¿verdad?
Bueno, ahora que tienes un poco más de información, antes de aceptar, revisa qué información quiere consultar la herramienta y pregúntate si ese acceso tiene algo que ver con lo que promete hacer.
Por ejemplo, si una herramienta tiene una función muy concreta, como cambiar el color del cursor, pero pide acceso a varios datos que no tienen mucho que ver, tómate unos minutos para revisar con más detalle antes de instalarla.
Un permiso para poner bajo la lupa
Existe un permiso muy común que dice: “Leer y modificar todos tus datos en los sitios web que visitas”.
Casi el 80% de las extensiones populares solicitan este acceso para poder operar, lo que puede hacernos pensar que es inofensivo.
Sin embargo, una extensión con este permiso tiene la capacidad técnica de ejecutar lo que en ciberseguridad se conoce como Form-grabbing o apropiación de formulario.
Eso quiere decir que puede leer en tiempo real lo que tecleas dentro del portal de tu banco o una tienda en línea antes de que la página lo encripte.
Cómo una extensión maliciosa puede afectar tus finanzas
No todas las extensiones tienen acceso a la misma información ni todas representan el mismo nivel de riesgo.
Pero el caso que mencionamos antes de Quick Access to ChatGPT muestra que una extensión maliciosa puede mezclarse con una actividad normal dentro del navegador y actuar mientras la persona cree que está usando una herramienta legítima.
Estas son las situaciones más comunes:
1. Robo de contraseñas y datos bancarios
Cuando usas el navegador, por ahí pasa mucha información sensible. Por eso se recomienda reducir los accesos innecesarios y revisar qué programas o que extensiones instalas si usas ese mismo navegador para hacer pagos, revisar productos financieros o entrar a plataformas donde guardas datos sensibles.
Te puede interesar: ¿Cómo hacer compras por internet de forma segura en Colombia?
2. Interceptación de sesiones activas en tu entidad financiera
Una extensión maliciosa no siempre necesita adivinar tu contraseña o romper la autenticación de dos factores (2FA).
Si logra capturar la cookie de sesión activa mientras tienes tu banca en línea o correo abierto, el atacante puede “clonar” esa sesión en su propio equipo e ingresar a tu cuenta inmediatamente, haciendo creer al sistema que sigues siendo tú.
Por eso es tan importante cerrar las sesiones cuando terminas de usarlas y revisar qué instalas en el navegador.
Sigue leyendo: Tarjeta Virtual Nu ¿Cómo usarla de forma segura?
3. Secuestro del portapapeles (Clipboard Hijacking)
Un método de fraude financiero menos conocido pero altamente efectivo es el rastreo del portapapeles.
Algunas extensiones monitorean lo que copias y pegas (Ctrl + C / Ctrl + V).
Si la extensión detecta que copiaste un número de cuenta bancaria o una clave de transferencia, reemplaza silenciosamente ese texto en el portapapeles por el número de cuenta del estafador.
Al pegar la información, si no verificas número por número antes de confirmar, enviarás el dinero a la cuenta equivocada.
4. Redireccionamiento silencioso e inyección de enlaces
El boletín del Centro Cibernético Policial también muestra cómo una extensión puede usar una función aparentemente normal como señuelo.
En el caso de la falsa extensión de ChatGPT, redirigía al usuario hacia la plataforma oficial para darle tranquilidad mientras, en segundo plano, recopilaba información del navegador y de su cuenta.
Así mismo, otras extensiones alteran silenciosamente los enlaces de las tiendas virtuales que visitas o inyectan códigos de afiliados para modificar los precios finales o interceptar el proceso de pago.
Instalar una extensión de la Web Store no es garantía total
La extensión detectada por el Centro Cibernético Policial se instalaba directamente desde la tienda oficial de Google Chrome.
Por eso la policía advirtió que los ciberdelincuentes también pueden utilizar extensiones disponibles en Web Stores oficiales para distribuir software malicioso.
En otras palabras, estar en una tienda oficial reduce el riesgo, pero no lo elimina.
⚠️ El fenómeno de la "Extensión Ciempiés": Veámoslo con un ejemplo. Un desarrollador X crea una herramienta útil y legal, gana miles de usuarios y un tiempo después Ciberdelincuentes le compran la extensión por miles de dólares. Al día siguiente, lanzan una actualización silenciosa que convierte esa herramienta útil en un programa espía (spyware).
Cómo saber si una extensión es segura antes de instalarla
No existe una señal que grite que es una extensión es riesgosa, pero sí puedes aplicar varios filtros antes de hacer clic:
- Analiza los permisos: pregúntate si los accesos que solicita tienen relación directa con la función que ofrece.
- Investiga al desarrollador: revisa qué otros productos ha publicado y si tiene un sitio web oficial verificado.
- Cuidado con los anuncios patrocinados: el Centro Cibernético Policial advirtió que el primer paso del engaño con la falsa extensión de ChatGPT era atraer a las personas con enlaces patrocinados en buscadores o redes sociales.
- Evalúa la necesidad real: si existe una página web oficial para usar el servicio, úsala en lugar de instalar algo.
Qué hacer si ya tienes extensiones instaladas que no reconoces
Este es un buen momento para hacer una auditoría en tu navegador:
Sigue estos pasos:
Restablecer- Abre el menú de extensiones de tu navegador y revisa la lista completa.
- Hazte preguntas como ¿Cuándo fue la última vez que usé esta herramienta? ¿Sé quién la creó? ¿realmente la necesito?
- Elimina lo innecesario: si encuentras alguna que no reconoces o que ya no usas, desinstálala. Si tienes dudas sobre una herramienta útil, revisa los permisos activos.
Una extensión útil puede poner en riesgo tu seguridad financiera
No necesitas tener veinte extensiones instaladas “por si acaso”; cada complemento es una puerta adicional abierta a tu información.
Tómate unos segundos para leer los permisos, investigar al desarrollador y quédate solo lo indispensable. Recuerda que en algunos casos menos es más.
Este contenido es parte de la misión de Nu Colombia de dar a las personas control sobre su vida financiera. ¿Todavía no estás familiarizado con Nu? Conoce más sobre nuestros productos y nuestra historia haciendo clic en el botón arriba en este blog.
