La seguridad digital tiene tantos flancos que es un tema cada vez más difícil de ser tratado. Cuando no son hackers, son plugins, o impresoras, o discos duros, pendrives… hay amenazas en todos los sitios, por eso debemos conocer los puntos débiles de nuestras sesiones de navegación.
Ahora un estudio nos habla sobre si las contraseñas que introducimos en el navegador están realmente seguras, centrándose en las extensiones que instalamos con frecuencia.
Un equipo de investigadores de la Universidad de Wisconsin-Madison, liderado por los estudiantes de doctorado Asmit Nayak y Rishabh Khandelwal, junto con el profesor asociado Kassem Fawaz, ha arrojado luz sobre una vulnerabilidad preocupante en la seguridad de los navegadores web. El equipo descubrió que aproximadamente el 15% de más de 7.000 sitios web examinados almacenan datos sensibles de los usuarios, como contraseñas y números de tarjeta de crédito, en texto plano dentro de su código HTML. Este almacenamiento en texto plano facilita el acceso a estos datos, lo cual es un riesgo de seguridad significativo.
Las extensiones de navegador, pequeños programas que mejoran la experiencia del usuario en la web, pueden explotar esta vulnerabilidad. Según el estudio, el 12,5% de las extensiones disponibles para Google Chrome tienen los permisos necesarios para acceder a estos datos sensibles.
Para demostrar la viabilidad de un ataque, los investigadores crearon su propia extensión maliciosa y la enviaron al Chrome Web Store, donde fue aprobada. Esto muestra que es posible que una extensión con intenciones maliciosas pase desapercibida y se convierta en una amenaza real.
Los actores maliciosos no necesitan empezar desde cero. Podrían comprar una extensión existente con una gran base de usuarios y modificar su código para acceder a los datos sensibles, lo que facilita la explotación de esta vulnerabilidad.
Google, por su parte, no considera esto como un fallo de seguridad. Argumentan que si los permisos de las extensiones están configurados correctamente, el riesgo se mitiga. Sin embargo, esto sigue siendo un tema de debate entre los expertos en seguridad.
El equipo de investigación sugiere implementar alertas para los usuarios cuando una extensión está accediendo a datos sensibles y proporcionar herramientas para los desarrolladores para proteger estos campos de datos.
Este estudio abre un nuevo capítulo en el debate sobre la seguridad digital. No solo pone de manifiesto una vulnerabilidad específica, sino que también plantea preguntas sobre cómo deberían diseñarse las políticas de seguridad en el futuro para proteger mejor la información del usuario. Sea como sea, yo siempre recomiendo lo siempre: usa solo las extensiones que realmente necesites, y desactívalas cuando no las uses.
Tenéis el estudio en arxiv.org