Nos enseñaron a desconfiar de los correos raros y los enlaces sospechosos. Pero hay un tipo de ataque que no necesita que hagas nada mal: los delincuentes no atacan tu equipo directamente, sino a la empresa o el programador detrás de una app o extensión en la que ya confías. Cuando esa app se actualiza, el código malicioso llega solo. Esto se llama ataque a la cadena de suministro.
Qué es la cadena de suministro digital
Ninguna app se hace desde cero. Usa librerías de código abierto, servicios de terceros y herramientas de otras empresas. Si un delincuente compromete una de esas piezas, o roba la cuenta del desarrollador, puede colar su código en una actualización “oficial” que llega a miles o millones de usuarios.
Tres casos reales que lo muestran
| Caso | Qué pasó | A quién afectó |
|---|---|---|
| Extensiones de Chrome (diciembre de 2024) | Los atacantes engañaron con un correo falso de Google al desarrollador de la extensión de Cyberhaven y publicaron una actualización maliciosa que robaba cookies, sobre todo de cuentas de Facebook para empresas | Más de 25 extensiones comprometidas, con más de 2,3 millones de usuarios, según LayerX |
| XZ Utils (marzo de 2024) | Una puerta trasera escondida en una librería de compresión usada por Linux, introducida durante años por un colaborador que se ganó la confianza del proyecto | La descubrió por casualidad Andres Freund, ingeniero de Microsoft, antes de que llegara a la mayoría de servidores |
| SolarWinds (2020) | Una actualización del software de gestión Orion llevaba código espía | Empresas y agencias del gobierno de Estados Unidos |
El caso de las extensiones de Chrome es el más cercano al usuario común: la extensión era legítima, la tenías instalada desde hace tiempo y Chrome la actualizó sola. Según LayerX, la versión maliciosa de Cyberhaven estuvo disponible algo más de 24 horas, del 25 al 26 de diciembre.
Por qué ya no es solo un problema de empresas
- Usamos decenas de apps y extensiones que se actualizan solas.
- Muchas extensiones de navegador tienen permiso para leer todo lo que ves en internet, incluidas tus sesiones abiertas.
- Una app pequeña o abandonada por su creador puede ser comprada o tomada por otra persona.
- Las cookies robadas permiten entrar a tus cuentas sin contraseña y sin código de verificación.
Qué puedes hacer sin ser experto
- Revisa tus extensiones (en Chrome: menú > Extensiones > Administrar extensiones) y borra las que no uses.
- Fíjate en los permisos. Desconfía de una extensión sencilla que pide “leer y cambiar todos tus datos en todos los sitios web”.
- Prefiere apps y extensiones con desarrollador conocido, muchas reseñas y actualizaciones recientes.
- Si una extensión cambia de dueño o de comportamiento (anuncios nuevos, permisos nuevos), elimínala.
- Cierra sesión de vez en cuando en cuentas importantes y revisa los dispositivos conectados.
- Usa llaves de acceso o verificación en dos pasos, y mantén todo actualizado: las correcciones llegan por actualización.
No se trata de dejar de actualizar
Puede sonar contradictorio, pero la solución no es apagar las actualizaciones: la gran mayoría trae correcciones de seguridad. La clave es tener menos cosas instaladas y elegir bien a quién le das acceso a tu navegador y tu celular. Cada app o extensión es alguien en quien confías; mientras menos sean, menos puertas hay.
¿Cuántas extensiones tienes instaladas en tu navegador? Cuéntanos en los comentarios.