La amenaza silenciosa: extensiones de navegador convertidas en scrapers

Si creías que una simple extensión para gestionar marcadores o subir el volumen de tu altavoz era inofensiva, tengo noticias que te van a sorprender. Investigadores de seguridad han destapado una operación preocupante: 245 extensiones de navegador instaladas en casi un millón de dispositivos están convirtiendo secretamente los navegadores en herramientas de scraping web para beneficio de terceros. Y lo peor: lo hacen desactivando protecciones de ciberseguridad fundamentales en tu navegador.

El descubrimiento que debe preocuparnos

John Tuckner, de SecurityAnnex, fue quien dio la voz de alarma. Tras analizar una serie de extensiones aparentemente inocuas disponibles para Chrome, Firefox y Edge (con casi 909.000 descargas acumuladas), descubrió que todas compartían un elemento común: incorporaban MellowTel-js, una biblioteca JavaScript de código abierto que permite a los desarrolladores «monetizar» sus extensiones.

¿Cómo funciona esta monetización? No mediante el típico bombardeo publicitario que todos odiamos, sino de una forma mucho más sutil y potencialmente peligrosa: usando tu navegador para rastrear y extraer datos de sitios web en nombre de clientes que pagan por este servicio.

El vínculo con servicios de scraping comercial

La investigación reveló conexiones entre MellowTel y Olostep, una empresa que se promociona como «la API de web scraping más confiable y rentable del mundo». Olostep presume de evitar todas las protecciones contra bots y poder gestionar hasta 100.000 solicitudes paralelas en cuestión de minutos.

El modelo de negocio parece claro: los clientes pagan a Olostep para acceder a páginas web específicas, y Olostep utiliza su base instalada de usuarios con estas extensiones para cumplir con las solicitudes. El desarrollador de la extensión recibe el 55% de los ingresos, mientras que MellowTel se queda con el resto.

Cómo debilitan intencionadamente tus protecciones de navegación

El fundador de MellowTel afirma que el propósito de la biblioteca es «compartir el ancho de banda de los usuarios (sin insertar enlaces de afiliados, anuncios no relacionados o recopilar datos personales)». Aunque suena razonable, la realidad técnica es mucho más oscura.

El mecanismo técnico detrás del engaño

Cuando instalas una de estas extensiones, MellowTel activa un websocket que conecta con un servidor AWS que recopila tu ubicación, ancho de banda disponible y otros datos de estado. Más allá de esta invasión de privacidad, el websocket inyecta un iframe invisible en la página que estás viendo, conectándose a sitios web especificados por el servidor. Como usuario normal, no tienes forma de saber qué sitios se están abriendo en ese iframe oculto.

Lo más grave es cómo estas extensiones sortean las protecciones habituales:

«Normalmente, existen protecciones para evitar que esto suceda. Cabeceras de seguridad comunes como Content-Security-Policy y X-Frame-Options deberían impedirlo. Sin embargo, la biblioteca solicita permisos de declarativeNetRequest y acceso en el manifiesto, lo que permite modificar solicitudes y respuestas web. La biblioteca modifica dinámicamente las reglas para eliminar las cabeceras de seguridad», explica Tuckner.

Este debilitamiento de la seguridad de navegación puede exponer a los usuarios a ataques como cross-site scripting que normalmente estarían bloqueados. No solo tu navegador se convierte en un bot sin tu conocimiento, sino que tu navegación web queda más vulnerable.

Riesgos reales para usuarios y empresas

El problema va más allá de la privacidad. Cuando MellowTel abre sitios desconocidos a través de tu navegador, estás depositando una confianza ciega en que vetan adecuadamente la seguridad de cada sitio. Y sabemos que incluso los sitios más legítimos pueden ser comprometidos de un día para otro.

Para redes corporativas con restricciones estrictas sobre el código que los empleados pueden ejecutar, estas extensiones representan un riesgo significativo. Imagina una extensión aparentemente inofensiva ejecutando código no autorizado y visitando sitios prohibidos en tu red corporativa. Podría desencadenar alertas de seguridad o, peor aún, comprometer datos sensibles.

Un preocupante precedente histórico

Este caso me recuerda enormemente a lo ocurrido en 2019, cuando se descubrió que extensiones instaladas en 4 millones de navegadores recopilaban cada movimiento de los usuarios en la web y los compartían con clientes de Nacho Analytics (empresa que cerró poco después de que Ars Technica expusiera la operación).

Aquella recopilación masiva incluyó vídeos de vigilancia de Nest, declaraciones fiscales, facturas, documentos empresariales, presentaciones almacenadas en Microsoft OneDrive, números de identificación de vehículos recién comprados junto con nombres y direcciones de compradores, nombres de pacientes y sus médicos, itinerarios de viaje en Priceline y Booking.com, archivos adjuntos de Facebook Messenger e incluso información propietaria de Tesla, Blue Origin, Amgen y docenas de otras empresas.

Estado actual y recomendaciones

Según los últimos datos proporcionados por Tuckner, la situación actual de las extensiones afectadas es:

• De 45 extensiones conocidas de Chrome, 12 están inactivas (algunas eliminadas explícitamente por malware, otras han eliminado la biblioteca)
• De 129 extensiones de Edge, 8 están inactivas
• De 71 extensiones de Firefox afectadas, solo 2 están inactivas

Si quieres protegerte, mi recomendación es revisar las extensiones que tienes instaladas y contrastarlas con la lista completa publicada por Tuckner. Y como norma general, limita las extensiones que instalas a aquellas que realmente necesitas y que provienen de desarrolladores de confianza.

Lecciones para la ciberseguridad cotidiana

Este caso nos recuerda algo fundamental: en la era digital, el malware ya no es solo el virus escandaloso que te secuestra el ordenador pidiendo rescate. A menudo, las amenazas más efectivas son las que operan en silencio, aprovechando recursos que cedemos voluntariamente sin entender las implicaciones.

A medida que avanza 2025, casos como este demuestran que debemos mantener una actitud crítica incluso con las herramientas más inocuas. La próxima vez que instales una extensión para gestionar tus contraseñas o personalizar tu navegador, recuerda que podrías estar abriendo una puerta trasera a algo mucho más complejo que lo que aparenta en la superficie.