Tabnabbing: la estafa que aprovecha las pestañas abiertas del navegador

El tabnabbing es una técnica de phishing avanzada que se aprovecha de la confianza del usuario cuando mantiene varias pestañas abiertas en su navegador. Aunque es menos conocida que otros ciberataques, supone un riesgo real de robo de credenciales, contraseñas y datos personales, sobre todo en entornos de trabajo y empresas donde se trabaja con muchas pestañas a la vez.

El método consiste en modificar en segundo plano el contenido de una pestaña inactiva para suplantar una página legítima. El usuario cree seguir en un sitio de confianza, como su correo electrónico, una red social o la web de su banco, pero la pestaña ha sido manipulada y redirigida a una falsa página de inicio de sesión.

El ataque se basa en la gestión de pestañas del navegador. Cuando la pestaña original queda en segundo plano, el atacante espera un tiempo y reemplaza su contenido por una página que imita a la auténtica. Al volver a ella, la víctima encuentra lo que parece un sitio normal que solicita sus credenciales. Al introducirlas, la información llega al atacante, que puede acceder a la cuenta. Por ser sigiloso, resulta especialmente difícil de detectar para el público general.

La estafa es especialmente peligrosa en páginas de uso diario que requieren inicio de sesión, como correos electrónicos, plataformas bancarias, comercios electrónicos, redes sociales o servicios en la nube. En el ámbito laboral, un empleado con varias pestañas abiertas puede ser víctima sin darse cuenta, comprometiendo tanto sus datos personales como los de su empresa.

Para reducir el riesgo se recomienda mantener el navegador actualizado, cerrar las pestañas inactivas procedentes de sitios desconocidos y comprobar siempre la URL real antes de introducir cualquier credencial, ya que la dirección suele delatar una web falsificada aunque su diseño sea prácticamente idéntico.

El tabnabbing no tiene la masividad de otros ataques de phishing, pero su peligro reside en el factor sorpresa y en la costumbre de confiar en las pestañas que se dejan abiertas. Como medida adicional, se aconseja activar la autenticación en dos pasos en los servicios que la ofrezcan, de modo que, aunque un ciberdelincuente obtenga una contraseña, necesite superar una segunda barrera para acceder a la cuenta.

Información elaborada a partir de Diario de Noticias de Álava.