La Unidad de Ciberdelincuencia de la Policía Nacional ha lanzado estos días una advertencia pública sobre una técnica de ciberfraude que está ganando terreno: el tabnabbing (literalmente, apropiación de pestañas). Este método, aún poco conocido por muchos usuarios, consiste en aprovechar las pantallas abiertas, solapadas e inactivas del navegador, para suplantar sitios legítimos –como bancos o, coincidiendo con la campaña de la Renta, páginas de la Administración– y robar así datos personales o credenciales de acceso cuando el usuario regresa a las mismas.
El tabnabbing, una técnica de fraude que se aprovecha de quienes deja a menudo multitud de pestañas abiertas simultáneamente en el navegador, atenta contra la privacidad de los datos de aquellos pequeños negocios que realizan buena parte de su actividad en el entorno digital: gestorías y asesorías, bufetes de abogados, consultoras…
El aviso, difundido recientemente a través de redes sociales oficiales, pone el foco en un riesgo digital que afecta especialmente a aquellos profesionales que trabajan todo el día conectados, como los autónomos de los negocios anteriormente citados. “¿Tienes abiertas varias pestañas en el navegador? Cuidado. Algunas podrían estar esperando a que te despistes para suplantar un sitio legítimo y robarte los datos”, alertaron los expertos en ciberdelincuencia de la Policía Nacional en uno de sus mensajes.
Los ataques de ‘tabnabbing’ aprovechan pestañas de navegador abiertas y desatendidas
Para muchos autónomos es habitual ‒y aún más tras la difusión del trabajo de forma remota‒ que en su quehacer diario se acumulen decenas de pestañas, ya sea con facturas, presentaciones, redes sociales, aplicaciones de mensajería o de correo y todo tipo de herramientas en la nube. Este entorno multitarea, tan común como necesario, los convierte también en un blanco ideal para este tipo de fraude silencioso.
Basta con iniciar la jornada descargando el correo electrónico y atendiendo las peticiones más urgentes de los clientes para dejar un rastro de pestañas abiertas e inactivas durante un tiempo. Momento empleado por los sitios maliciosos para aprovecharse y modificarlas para hacerse pasar por webs oficiales real, sin que el usuario lo note. Cuando vuelven a ella, confían en lo que ven… y el ataque se consuma.
El tabnabbing se produce cuando se visita una página web que ha sido comprometida o manipulada para ejecutar scripts maliciosos; es decir, no hace falta que el ordenador del usuario esté infectado con un virus o un programa semejante para ser víctima del fraude. En otras palabras, el ataque se origina en las propias páginas web, no por el dispositivo.
Esto es algo relativamente común, si se tiene en cuenta que hoy en día los atacantes emplean incluso publicidad en medios legítimos para dirigir a los usuarios a sitios que contienen código malicioso, de tal manera que se inserte un script oculto en la página. Una vez que la página comprometida se carga en el navegador, este código se activa cuando la pestaña se deja inactiva, por ejemplo, al pasar a otra o al minimizar la ventana.
Al detectar esta acción, el código redirige automáticamente la dirección de la pestaña a una página clonada del sitio original, diseñada para parecer auténtica. Los ciberdelincuentes tratan de imitar el aspecto y los contenidos, buscando engañar al usuario y hacerle introducir cualquier tipo de información sensible, como contraseñas o datos bancarios.
Algunas recomendaciones de los expertos para prevenir este tipo de fraude
Para minimizar el riesgo de caer en un ataque de tabnabbing, existe una serie de medidas de los expertos en seguridad que ayudan a los autónomos a reforzar su protección a la hora de navegar, reduciendo las posibilidades de redirecciones maliciosas:
- Cerrar las pestañas inactivas. Aunque sea lo más evidente, la base de esta técnica de estafa se centra en las pestañas que se dejan abiertas pero no se están usando, aumentando la probabilidad de que una de ellas sea manipulada.
- Verificar la URL. Antes de introducir información sensible o iniciar sesión en alguna web conviene revisar la dirección que aparece en la barra del navegador. Si se notan cambios inesperados o discrepancias en la URL del sitio, lo mejor es cerrar la pestaña y volver a acceder al portal en cuestión de forma manual.
- Mantener el navegador actualizado. El tabnabbing se detectó por primera vez hace más de 10 años, aunque desde entonces su uso no se ha extendido demasiado. Sin embargo, navegadores como Chrome, Firefox o Edge han ido implementando parches de seguridad para prevenir vulnerabilidades explotadas por estas técnicas. Por eso es imprescindible tener siempre las versiones más recientes.
- Utilizar extensiones de seguridad. Las páginas web pueden tener motivos legítimos para recargarse, por eso los navegadores no bloquean este comportamiento por defecto, aunque existen plugins o extensiones que evitan buena parte del código que no resulte esencial para la navegación, y que suponen una capa adicional de protección. Es el caso de herramientas como NoScript o uMatrix.
- Precaución con la publicidad engañosa. Dado que los ciberdelincuentes utilizan publicidad legítima para redirigir a quien la pincha a páginas web infectadas, es buena idea prestar especial cuidado, y verificar la página de destino a la hora de hacer clic en un anuncio; especialmente en páginas que no se conocen.
¿Sigue siendo seguro el navegador Firefox?
Otro posible riesgo para la seguridad de los datos de los autónomos y de su actividad en el ámbito online se ha conocido también hace escasos días, aunque en este caso no se debe a un problema de fraude. Y es que Mozilla, la compañía propietaria del tercer navegador más empleado el todo el mundo, Firefox, ha realizado cambios en su política de privacidad que han generado una gran controversia entre sus usuarios.
Concretamente, se ha eliminado de la sección de preguntas frecuentes la garantía de que los datos personales recopilados a través del navegador nunca se venderían a terceros. Al mismo tiempo, se ha incorporado una nueva cláusula en los términos de uso en la que se establece que al subir o introducir información mediante el navegador el usuario concede a Mozilla una licencia “no exclusiva, libre de royalties y de aplicación mundial” para usar esos datos con el fin de “facilitar la navegación y la interacción con el contenido online”.
Si bien desde Mozilla se ha explicado que esta modificación responde a una necesidad legal, el cambio fue rápidamente detectado por la comunidad en GitHub, Reddit y en redes sociales, donde algunos usuarios llegaron a argumentar que se trata del final de Firefox, tal y como se conoce, y recomendar otros navegadores.
Portavoces de la compañía han insistido en que estos cambios no implican que adquieran la propiedad de los datos, ni que estos sean utilizados para fines distintos a los especificados en su aviso de privacidad, y que cualquier información compartida con terceros se realiza de forma anonimizada.
