Descubre cómo el tabnabbing amenaza tu seguridad en línea y aprende a protegerte de esta estafa de ingeniería social

Vivimos en una época en la que abrir decenas de pestañas en el navegador es algo bastante normal. Ya sea porque estamos trabajando, comprando o simplemente navegando, es frecuente tener abiertas varias páginas a la vez en Chrome o cualquier otro navegador. Este desorden, que a veces parece inofensivo o incluso útil, puede convertirse en una puerta de entrada para nuevas formas de estafa.

¿Qué es el ‘tabnabbing’?

El tabnabbing es una técnica de ingeniería social y manipulación que consiste en cambiar el contenido de una pestaña abierta en tu navegador mientras no la estás mirando. Imagina que tienes varias pestañas abiertas y, tras un rato, vuelves a una de ellas esperando encontrar la página de siempre, como tu correo electrónico o tu banco. Sin embargo, lo que ves es una página de inicio de sesión falsa que imita perfectamente a la original. El truco está en que el usuario, confiado, pero sobre todo distraído por la cantidad de pestañas que hay, no sospecha que esa página ha cambiado mientras él estaba en otra parte. Así, introduce sus credenciales pensando que está accediendo a su cuenta real, cuando en realidad está entregando usuario y contraseña a los ciberdelincuentes.

El gran punto de peligrosidad aquí es que no necesita que tú descargues nada o que hagas clics en mensajes o enlaces raros. Simplemente, se aprovecha de la costumbre de dejar pestañas abiertas y de la confianza que tenemos en nuestro propio navegador. Además, los atacantes pueden replicar el aspecto de cualquier web, desde Gmail hasta tu banco, lo que hace que el engaño sea aún más difícil de detectar.

¿Cómo funciona el ‘tabnabbing’?

Todo empieza cuando visitas una página web que, aparentemente, no tiene nada de sospechoso. Puede tratarse de un blog, un foro, una tienda online o cualquier sitio que haya sido comprometido o que incluya código malicioso. Mientras navegas y abres otras pestañas, dejas esa página en segundo plano. En ese momento, el código malicioso aprovecha que la pestaña está inactiva y, tras un tiempo, cambia el contenido de la página. Lo normal es que la nueva página simule una pantalla de inicio de sesión de un servicio conocido y que da confianza, como Google, Facebook o tu banco.

Cuando, después de un rato, vuelves a esa pestaña, ves la pantalla de login y, de forma automática, piensas que tu sesión ha caducado o que necesitas volver a iniciar sesión. Si introduces tus datos, estos van directamente a manos de los atacantes, que ya pueden acceder a tus cuentas. Lo más preocupante es que el cambio de contenido puede pasar completamente desapercibido. El favicon, es decir, el icono de la pestaña y el título también pueden modificarse para imitar a la web original, dejando muy claro que es ‘legítima’ y que nada ha cambiado desde que la dejaste ahí parada hace cinco días.

¿Cómo puedes protegerte de esta estafa?

1. Cierra las pestañas que no uses: mantener solo las pestañas necesarias abiertas reduce el riesgo de que alguna sea manipulada sin que te des cuenta.

2. Revisa siempre la URL: antes de introducir tus datos, comprueba que la dirección web es la auténtica y que empieza por “https://”.

3. No inicies sesión desde pestañas antiguas: si una web te pide volver a iniciar sesión de repente, cierra la pestaña y abre una nueva escribiendo la dirección manualmente.

4. Usa gestores de contraseñas: estas herramientas solo rellenan tus datos en sitios legítimos, lo que ayuda a evitar caer en trampas.

5. Actualiza tu navegador: los navegadores modernos suelen incluir protecciones contra este tipo de ataques, así que mantén Chrome y tus extensiones siempre actualizadas.

Por ejemplo, Google Chrome y otros navegadores han ido añadiendo medidas para reducir el riesgo de tabnabbing. Han cambiado la forma en la que las páginas pueden modificar el contenido de las pestañas abiertas en segundo plano, y han limitado el acceso a ciertas funciones para scripts maliciosos. Aun así, ninguna protección es 100% infalible y los atacantes siempre buscan nuevas formas de saltarse las barreras, por lo que la mejor defensa sigue siendo la atención y el sentido común del usuario.

Tres señales de que estás siendo víctima de ‘tabnabbing’

1. La pestaña ‘pide’ datos de forma aleatoria: si una web que no requiere login, como un periódico, de repente muestra un formulario, desconfía.

2. La URL tiene errores: verás letras cambiadas como, por ejemplo, faceb00k.com, dominios raros como .biz, .top o falta el ‘https://’.

3. Te piden más información de la normal: contraseña antigua, PIN o datos de tarjeta en redes sociales.

Con todo esto sobre la mesa, y mientras la Policía Nacional hace su trabajo, la mejor defensa sigue siendo la precaución. Como resumen ellos mismos, en internet, desconfía hasta de tu sombra, y, sobre todo, de esa pestaña que la tienes abierta desde hace una semana.