El tabnabbing: la técnica de phishing que explota las pestañas abiertas del navegador
Qué es el tabnabbing, cómo suplanta páginas abiertas en el navegador para robar contraseñas y cómo protegerse con medidas sencillas.
El tabnabbing es una técnica de phishing avanzada que aprovecha la confianza del usuario cuando mantiene varias pestañas abiertas en el navegador. Aunque es menos conocida que otros ciberataques, representa un riesgo real de robo de credenciales, contraseñas y datos personales, sobre todo en entornos de trabajo y empresas donde se trabaja con muchas pestañas a la vez.
El ataque consiste en modificar en segundo plano el contenido de una pestaña inactiva para suplantar una página legítima. El usuario cree seguir en un sitio de confianza, como su correo electrónico, una red social o la web de su banco, pero la pestaña ha sido manipulada y redirigida a una falsa página de inicio de sesión.
El mecanismo aprovecha la gestión de pestañas del navegador: cuando una pestaña queda en segundo plano, el atacante espera un tiempo y reemplaza su contenido por una página que imita el original. Al introducir sus credenciales, la información llega al atacante, que puede acceder a la cuenta de la víctima. Por ello, el tabnabbing resulta sigiloso y difícil de detectar para el público general.
La estafa es especialmente peligrosa en páginas de uso diario que requieren inicio de sesión, como correos electrónicos, plataformas bancarias, comercios electrónicos, redes sociales o servicios en la nube. En el ámbito laboral, un empleado con varias pestañas abiertas puede ser víctima sin darse cuenta, comprometiendo tanto sus datos personales como los de su empresa.
Para reducir el riesgo, se recomienda mantener el navegador actualizado, cerrar las pestañas inactivas procedentes de sitios desconocidos y comprobar siempre la URL real antes de introducir credenciales, ya que la dirección web suele delatar una página falsificada aunque su diseño sea casi idéntico.
Por último, se aconseja activar la autenticación en dos pasos en los servicios que la ofrezcan. Así, aunque un ciberdelincuente consiga una contraseña, necesitará superar una segunda barrera para acceder a la cuenta.
Información elaborada a partir de Noticias de Gipuzkoa.