La extensión que instaló hace dos años no es la que se está ejecutando hoy

Las extensiones del navegador se actualizan solas, en silencio, sin preguntar nada. Ese único hecho es toda la historia.

Los investigadores de Socket publicaron el 28 de agosto sus conclusiones sobre 19 complementos, 18 para Chrome y uno para Edge, agrupados en una campaña que llaman "Superior" y cuyo rastro llega hasta febrero de 2024. Catorce los creó el propio atacante. Los otros cinco se los compraron a quienes los habían escrito, y ahí conviene detenerse: alguien hace una herramienta pequeña y útil, se cansa de mantenerla, la vende, y el comprador publica una actualización que hace algo completamente distinto. El más extendido era "Enable Right Click and Copy", con unos 70.000 usuarios en Chrome y otros 10.000 en Edge.

Las versiones actualizadas no disimulaban sus ambiciones. Vaciaban carteras de criptomonedas en varias cadenas, mostraban páginas falsas de recuperación de Ledger y Trezor para capturar las frases semilla, robaban sesiones abiertas en plataformas como Coinbase, Binance y Kraken, capturaban todo lo escrito en cualquier campo de contraseña o correo de cualquier web, extraían el historial de navegación y los tokens de sesión de Facebook y LinkedIn, y lanzaban avisos falsos de actualización del navegador que le piden pegar usted mismo un comando en Windows. Google retiró la ficha de Chrome. Cuando Socket publicó, la versión de Edge seguía disponible.

Casi todo el mundo arrastra extensiones que dejó de usar hace años y en las que ya no piensa. Ahí está la exposición, y limpiarlo cuesta dos minutos: abra la página de extensiones de su navegador y quite todo lo que no pueda explicar en una frase. La comprobación de seguridad de Tendvane muestra las extensiones del navegador junto a los programas de inicio, y suele ser el momento en que uno descubre qué venía de acompañante.