La estafa de las pestañas falsas abiertas en Chrome que roba información sin que el usuario se dé cuenta

Los ciberataques siempre evolucionan y entre los más recientes y peligrosos se encuentra el tabnabbing, una técnica que explota el descuido cotidiano de millones de personas habituadas a abrir varias pestañas en Google Chrome.

Esta amenaza es silenciosa, difícil de detectar y puede tener graves consecuencias tanto para usuarios individuales como para organizaciones, al estar enfocada en el robo de información de manera oculta.

El tabnabbing es una modalidad de phishing que aprovecha la costumbre de mantener pestañas abiertas e inactivas en el navegador para suplantar páginas legítimas y robar credenciales. A diferencia del phishing tradicional, que se basa en correos o páginas sospechosas, aquí el engaño se presenta dentro de una pestaña que el propio usuario abrió, frecuentemente sin advertir el cambio.

Según ha señalado el Instituto Nacional de Ciberseguridad (Incibe) y la Policía Nacional de España, este método crece en popularidad debido a su capacidad para pasar desapercibido y engañar al más precavido.

La dinámica del tabnabbing clásico consiste en que el usuario accede a una página aparentemente inocua, como un blog, un foro o incluso una tienda online. Después, cambia a otra pestaña para continuar con su actividad, dejando la primera en segundo plano.

Aprovechando esa inactividad, el atacante, mediante malware o scripts maliciosos, reemplaza el contenido real con una réplica idéntica de un sitio legítimo, como el banco, una red social o el correo electrónico. Cuando el usuario retorna, ve una pantalla familiar que sugiere que la sesión ha expirado. Pocos dudan y, automáticamente, ingresan de nuevo sus datos confidenciales, que el ciberdelincuente captura al instante.

Otra variante sofisticada es el reverse tabnabbing o tabnabbing inverso. En este caso, el engaño se activa al hacer clic en un enlace que genera una nueva pestaña. Esta ventana secundaria, técnicamente, posee el control para modificar la pestaña anterior y la transforma en un señuelo fraudulento.

El procedimiento no solo resulta eficaz para obtener claves y nombres de usuario, también expone datos bancarios, información de redes sociales o incluso documentos empresariales confidenciales.

Quienes caen en la trampa del tabnabbing pueden enfrentar múltiples consecuencias, entre las que se encuentran:

• Robo de identidad: si el usuario introduce sus credenciales en una página simulada, el atacante puede controlar sus cuentas, hacerse pasar por él o propagar mensajes desde su identidad.
• Pérdida financiera: al copiar la interfaz de un banco o tienda online, los atacantes pueden realizar compras, transferir dinero o vender los datos en la web clandestina.
• Compromiso de información corporativa: en ambientes empresariales, el acceso a documentos internos, datos de clientes y otros recursos valiosos puede provocar daños que van desde la filtración de información sensible hasta la pérdida de competitividad o demandas legales.

Aunque se trata de una de las técnicas más difíciles de detectar, hay señales y acciones preventivas que pueden reducir la exposición. Los expertos y organismos de ciberseguridad señalan una serie de estrategias clave:

• Cerrar pestañas inactivas: las páginas sospechosas pueden alterar su contenido mientras el usuario no las supervisa. Si una pestaña no es necesaria, lo más seguro es cerrarla.
• Verificar la URL y la conexión segura: antes de ingresar datos confidenciales, conviene observar detenidamente la dirección web. Un pequeño error ortográfico, la ausencia del candado de conexión segura (HTTPS) o un dominio diferente pueden indicar que se trata de una falsificación.

• No reutilizar contraseñas: utilizar las mismas claves en varios servicios expone todas las cuentas si una de ellas es comprometida. Los gestores de contraseñas, como Bitwarden, 1Password o LastPass, resultan aliados indispensables para generar combinaciones complejas y únicas para cada sitio.
• Activar la autenticación en dos pasos (2FA): este mecanismo añade una comprobación adicional, como un código que llega al móvil o al correo, que dificulta el acceso no autorizado incluso si el ciberdelincuente consiguió la contraseña.
• Mantener el navegador actualizado: las actualizaciones corrigen errores y cierran puertas de entrada que los atacantes pueden aprovechar. La revisión frecuente y la descarga de las versiones más emblemáticas de Google Chrome y otros navegadores reducen los riesgos considerablemente.
• Instalar extensiones de seguridad: herramientas como uBlock Origin o NoScript bloquean la ejecución de scripts peligrosos, lo cual dificulta la manipulación de pestañas y la instalación de malware.
• Revisar los hábitos de navegación: adoptar buenas costumbres, como supervisar las pestañas abiertas, desconfiar de formularios inesperados y buscar indicios de autenticidad, puede marcar la diferencia.