Imagen: Socket
El equipo de investigación de amenazas de Socket publicó este jueves 29 de octubre un informe, firmado por John Tuckner, que reúne 319 extensiones de navegador instaladas por unos 13,4 millones de usuarios cuya única función es el secuestro de búsquedas («searchjacking»): cambian el buscador predeterminado, hacen pasar cada consulta por un servidor intermedio y cobran de Yahoo o de Bing como socios que les llevan tráfico.
El trabajo amplía una investigación anterior, de abril de 2025, con 264 extensiones nuevas que suman 8,7 millones de usuarios más. Se anunciaban como buscadores de manuales («manual finder»), búsqueda segura («safe search»), conversores de PDF («PDF converter») o búsqueda con IA («AI search»), y muchas están ocultas en la Chrome Web Store.
Una extensión sin código
Yahoo y Microsoft tienen programas de sindicación de búsquedas: quien les lleva consultas se queda una parte de lo que generan los anuncios de los resultados, y se le asigna un código de socio. A una extensión le basta con un ajuste de su manifiesto que cambia el proveedor de búsqueda predeterminado, y la compañía subraya que ni siquiera es código que se ejecute: ese manifiesto, más tres iconos, es todo lo que lleva una de las analizadas, «Safe Game Search».
No pide permisos, no tiene un proceso en segundo plano, no inyecta scripts en las páginas y no tiene interfaz. Al instalarla, el navegador avisa del cambio de buscador, pero el aviso no deja claro adónde van a parar las búsquedas.
Lo que puede hacer el servidor intermedio
Como las consultas pasan antes por el servidor del operador, este ve el historial completo de búsquedas, a menudo ligado a un identificador único. Y es ese servidor el que decide, petición a petición, adónde acaba cada búsqueda. De momento lleva a resultados reales de Yahoo o de Bing, pero la compañía avisa de que, con tiempo suficiente, con una búsqueda concreta o por la zona del usuario, podría mostrar de forma selectiva una página de phishing, unos resultados falsos o un señuelo para instalar malware.
La mayoría de las redirecciones estudiadas solo añadían las etiquetas de socio, pero hubo casos en los que una búsqueda repetida acabó en la portada de Google sin etiquetas mientras otras seguían yendo a Bing. En Predator Search, con 50.000 usuarios, seis búsquedas idénticas terminaron en cuatro sitios distintos, de Yahoo a una página de error de Cloudflare, sin que la extensión cambiara. Los investigadores matizan que es solo una suposición que esas redirecciones puedan ser maliciosas, aunque recuerdan que, si solo quisieran cobrar, bastaría con poner las etiquetas en la propia extensión.
Ocultas en la tienda y empujadas con anuncios
La Chrome Web Store permite que una extensión no aparezca en las búsquedas de la tienda: su página se puede ver, pero hay que conocer su identificador exacto o llegar desde un enlace. La mayoría de las del informe están así. Llegan a los usuarios por redes de publicidad, sobre todo en ventanas emergentes de anuncios de baja calidad en blogs pequeños y granjas de contenido, y con unos pocos clics quedan instaladas y olvidadas. Como publicidad de pago, el informe cita Google Ads y Bidbrain, entre otras.
Para la compañía, la tienda no ha seguido el ritmo: aunque se retiren extensiones, enseguida aparecen dominios y reclamos nuevos. Y su conclusión es tajante: una extensión que solo intercepta búsquedas que el usuario podría haber hecho igual, que se esconde a propósito y que no aporta nada más «debería considerarse maliciosa por definición».
Una década de secuestros
Las extensiones del informe se remontan a 2016. Si fueran una sola, sus 13 millones de usuarios la meterían entre las 25 extensiones de Chrome más populares. Detrás hay un puñado de operadores organizados: los identificados reúnen 200 extensiones y unos 5,68 millones de usuarios, y los desconocidos, 119 extensiones y unos 7,76 millones.
| Grupo | Extensiones | Usuarios |
|---|---|---|
| «SecuryBrowse» | 58 | Unos 4.901.000 |
| «Bing-Search» | 37 | Unos 2.210.000 |
| Intango LTD | 111 | Unos 2.187.000 |
| Free Planet VPN S.R.L | 1 | 2.000.000 |
| «HermesTab» | 2 | 400.000 |
Intango LTD, que fabrica el navegador Lumio, ha publicado desde 2018 unas 111 extensiones, cada una con su propio dominio y su propio buzón, de modo que cada ficha parecía la de un pequeño editor independiente. La oleada «SecuryBrowse» de 2024 usaba nombres de seguridad creíbles, como «Fire Shield» o «WatchTower», y a menudo pedía además muchos permisos sensibles. Y desde abril de 2025 se publicaron 37 extensiones centradas en Bing que el informe atribuye a un solo actor: quince editores en apariencia independientes las actualizaron en los mismos cuatro días de junio de 2026.
Cómo se detecta una extensión oculta
De la dirección de la ficha en la Chrome Web Store se saca el identificador de la extensión; si al buscarlo en la tienda no sale nada, es una de las ocultas. Los investigadores tiraron además de las políticas de privacidad, de Google Ads Transparency y de los servicios Censys, urlscan y DecryptAds para llegar a quién hay detrás de los anuncios.
En techplanet.es contamos el 7 de octubre cómo identificar una extensión de navegador que recopila tus datos.
Te puede interesar
Tech Planet participa en el programa de afiliados de Amazon. Si compras a través de estos enlaces, recibimos una pequeña comisión sin coste extra para ti, lo que nos ayuda a seguir creando contenido como este.
| Imagen | Producto | Características | Comprar |
|---|---|---|---|
 |
Norton 360 Deluxe 2026, 5 dispositivos | 1 año con renovación automática · antivirus y Secure VPN · Dark Web Monitoring · descarga digital | Ver precio en Amazon |
 |
ESET Home Security Essential 2026, 3 dispositivos | 1 año · inspector de red · banca online y navegación seguras | Ver precio en Amazon |
 |
McAfee Total Protection 2026, 5 dispositivos | 15 meses · antivirus, VPN y gestor de contraseñas · detector de fraudes | Ver precio en Amazon |
 |
Yubico Security Key C NFC | llave FIDO2/WebAuthn y U2F · USB-C y NFC · sin batería · no admite contraseñas de un solo uso | Ver precio en Amazon |
Escrito por Eloy Andrade
