Una investigación de ciberseguridad encendió las alertas sobre el uso de extensiones aparentemente inofensivas en Google Chrome. El análisis identificó 319 complementos maliciosos que, en conjunto, han sido instalados por cerca de 13,4 millones de personas en todo el mundo.
De acuerdo con información reseñada por Europa Press, estas herramientas intervienen las búsquedas de los usuarios, recopilan sus consultas y las redirigen mediante servidores controlados por sus operadores para obtener ganancias económicas.
El hallazgo fue presentado por John Tuckner, investigador de la compañía de seguridad informática Socket, quien amplió un estudio divulgado en abril de 2025. En esta nueva revisión encontró otras 264 extensiones fraudulentas que no habían sido identificadas anteriormente y que suman 8,7 millones de usuarios afectados.
De acuerdo con el informe, detrás de esta operación estaría un grupo organizado que utiliza estos complementos para modificar el buscador predeterminado de Chrome.
Una vez instalados, los programas hacen que las consultas pasen primero por un servidor proxy administrado por los responsables de la campaña. De esta manera, pueden conocer lo que buscan las personas y redirigirlas posteriormente a plataformas como Yahoo o Bing.
Uno de los aspectos que dificulta detectar la amenaza es que las extensiones permanecen disponibles en la Chrome Web Store bajo nombres que parecen legítimos. Entre ellos figuran opciones como Safe Web Search y PDF Manual Finder.
El problema va más allá de alterar el buscador. Al pasar por los servidores de los operadores, cada consulta queda expuesta y puede asociarse con un identificador único, lo que permite construir un registro detallado de la actividad de búsqueda de cada usuario.
Aunque las pruebas realizadas por los investigadores muestran que, hasta ahora, las consultas terminan en resultados legítimos de Yahoo y Bing, el mecanismo también podría utilizarse con otros fines.
Los operadores tienen la posibilidad de modificar las páginas de destino según las palabras buscadas o la ubicación geográfica de la víctima. Esto les permitiría mostrar sitios fraudulentos, resultados falsificados o páginas diseñadas para distribuir programas maliciosos.
No todas las extensiones de Chrome son seguras
La principal motivación económica de esta operación estaría relacionada con los programas de referencias de los motores de búsqueda. Al interceptar las consultas antes de que lleguen a Yahoo o Bing, los responsables pueden introducir sus propios identificadores de afiliación y recibir pagos por el tráfico que generan.
Según explicó Tuckner, este modelo representa una oportunidad de ingresos para los operadores, quienes pueden mantener el sistema funcionando mientras recopilan información sobre los usuarios. Posteriormente, también tienen la posibilidad de aprovechar los datos obtenidos para dirigir a determinadas personas hacia páginas de phishing o descargas peligrosas.
La preocupación aumenta porque eliminar las extensiones identificadas no necesariamente acaba con la operación. Socket advirtió que, cuando algunas de estas herramientas desaparecen de la tienda oficial, sus responsables suelen crear nuevos dominios y utilizar otros nombres para continuar distribuyéndolas.
Ante este panorama, la compañía recomienda desconfiar de los complementos que no ofrecen una utilidad clara y cuya función principal consiste en interceptar o modificar las búsquedas.