- Se han identificado 319 extensiones de Chrome con unos 13,4 millones de instalaciones.
- Alteran el buscador predeterminado y hacen pasar las consultas por servidores intermedios.
- El negocio inmediato se apoya en referencias de Yahoo y Bing, aunque puede derivar en phishing o malware.
- Revisar extensiones, permisos y motor de búsqueda es la principal medida de protección.
La amenaza de las extensiones maliciosas de Chrome vuelve a estar de actualidad por un análisis que eleva a 319 los complementos detectados. En conjunto, suman alrededor de 13,4 millones de instalaciones en distintos países, una cifra que da idea de la escala del fenómeno. Aunque los datos son globales, el aviso vale igual para usuarios de España y del resto de Europa: cualquiera puede toparse con una de estas herramientas sin darse cuenta.
El patrón no es un ataque aparatoso, sino algo más silencioso: alterar el buscador predeterminado y hacer que las consultas pasen por servidores controlados por terceros. A partir de ahí, quien maneja la infraestructura puede observar qué se busca, asociarlo a un identificador y decidir qué resultados mostrar. El objetivo inmediato es económico, aunque el diseño deja la puerta abierta a usos más peligrosos.
Un problema silencioso que afecta a millones de usuarios
La revisión amplía un análisis anterior de abril de 2025, cuando se documentaron 57 complementos con unos seis millones de usuarios. Ahora se han añadido 264 extensiones nuevas que afectan a 8,7 millones de personas más, de modo que el total alcanza esas 319 herramientas y los 13,4 millones de instalaciones mencionadas. La diferencia entre ambas cifras explica por qué el asunto ha pasado de ser una alerta puntual a un problema de escala considerable.
Muchas se presentan con nombres y funciones que parecen razonables: Safe Web Search, PDF Manual Finder, conversores de documentos, buscadores de manuales, utilidades de búsqueda segura o asistentes de inteligencia artificial. El problema es que su función real suele limitarse a interceptar la consulta y redirigirla. La apariencia de herramienta útil es parte del anzuelo, sobre todo para quien busca una solución rápida y no revisa después qué ha cambiado en el navegador.
Cómo se cambia el buscador sin apenas dejar rastro
El mecanismo técnico es más simple de lo que podría parecer. Varias de estas extensiones aprovechan el ajuste chrome_settings_overrides para cambiar el motor de búsqueda predeterminado desde el propio archivo de manifiesto. En algunos casos analizados no hacen falta scripts en segundo plano, scripts de contenido ni permisos adicionales llamativos: basta con el manifiesto y unos iconos para que el cambio pase relativamente desapercibido.
Una vez instalado el complemento, cada búsqueda se envía primero al servidor del operador y después continúa hacia Yahoo o Bing. Ese intermediario actúa como un proxy sospechoso que puede registrar la consulta, vincularla a un identificador único y elegir el destino final. La extensión no tiene por qué actualizarse para cambiar de comportamiento: es el proxy el que decide en cada momento qué devolver.
Las pruebas realizadas hasta ahora muestran que muchas consultas acaban en resultados legítimos de Yahoo y Bing, pero esa apariencia normal no elimina el riesgo. Los operadores podrían usar la cadena de búsqueda o la ubicación geográfica para mostrar resultados falsos, páginas de phishing o descargas maliciosas. En un caso documentado con una extensión llamada Predator Search, seis búsquedas idénticas terminaron en cuatro destinos distintos, incluidos dominios intermedios y una página de error.
Del pago por referencias al riesgo de phishing
El negocio inmediato está en las referencias de búsqueda. Al hacer pasar las consultas por su propio servidor antes de llegar a Yahoo o Bing, los responsables pueden introducir identificadores de socio y cobrar por el tráfico redirigido dentro de los programas de sindicación de búsqueda. Es una fuente de ingresos lucrativa y, a la vez, una forma de acumular datos sobre los usuarios mientras el sistema sigue funcionando con apariencia inocua.
Ese mismo diseño permite dar un paso más cuando convenga. El operador del proxy puede esperar a tener suficientes datos o a identificar objetivos antes de desviar a resultados maliciosos, páginas de destino fraudulentas u otras descargas. No hace falta que la extensión incorpore esa capacidad desde el principio: el cambio de destino puede llegar después, sin que el usuario perciba nada raro en la tienda de complementos.
La advertencia encaja con la idea de que instalar una extensión no es un gesto inocuo. Aunque el complemento parezca limitarse a una tarea concreta, puede tener acceso a funciones sensibles del navegador y modificar ajustes que el usuario no revisa a diario. Por eso conviene mirar con desconfianza cualquier herramienta cuya utilidad no esté clara o que prometa cambiar la búsqueda sin explicar bien para qué.
Extensiones no listadas y publicidad de baja reputación
Muchas de estas herramientas no aparecen en las búsquedas internas de la Chrome Web Store. Figuran como no listadas, así que solo se llega a ellas mediante un enlace directo, y suelen promocionarse con anuncios pagados en Google Ads, Bidbrain u otras redes publicitarias. Esa opacidad explica en parte por qué la campaña ha podido crecer sin levantar demasiadas sospechas.
Los nombres imitan utilidades razonables y la publicidad las presenta como soluciones prácticas. Quien las instala suele creer que va a resolver un problema puntual, como convertir un documento, encontrar un manual o activar un modo de búsqueda segura. Pocas veces comprueba después qué motor de búsqueda ha quedado configurado por defecto en el navegador. Ahí está buena parte del engaño.
En el momento de publicarse el análisis, muchas de las extensiones señaladas ya habían sido retiradas de la tienda. Sin embargo, los responsables suelen lanzar variantes nuevas, dominios y señuelos con rapidez. Eso significa que borrar un complemento concreto no cierra el problema de forma definitiva; la vigilancia periódica del navegador resulta más útil que una limpieza puntual.
Dos focos principales y una capacidad constante de reciclaje
La campaña no depende de un único grupo, sino de varios conjuntos que comparten infraestructura publicitaria y cambian de disfraz. Uno de los más activos es Bing-Search, con 37 extensiones y 2,2 millones de usuarios, promocionado sobre todo mediante anuncios de Bidbrain. El otro es la oleada SecuryBrowse, con 58 extensiones y 4,9 millones de usuarios, que imita herramientas de seguridad con nombres como Fire Shield, Securify o WatchTower.
Entre ambos suman 95 complementos y 7,1 millones de usuarios, más de la mitad de las instalaciones detectadas en el conjunto de la investigación. El patrón se repite: el usuario cree que instala una utilidad concreta, pero el complemento cambia el buscador y empieza a enviar las consultas a través de una infraestructura ajena. La opacidad de las extensiones no listadas y la publicidad de baja reputación explican en buena medida por qué han podido crecer sin llamar demasiado la atención.
Este tipo de secuestro de búsquedas lleva años funcionando en la frontera entre el programa potencialmente no deseado y el malware. Esa capacidad de reciclaje hace que el riesgo no se agote con una lista concreta: los operadores pueden reaparecer con nuevos nombres y dominios cuando se retiran sus herramientas anteriores.
Qué revisar si sospechas que tu Chrome está manipulado
Lo primero es revisar la lista de extensiones de Chrome y eliminar cualquier complemento desconocido o que no tenga una utilidad clara. Después conviene examinar el motor de búsqueda predeterminado en los ajustes del navegador y restaurarlo si aparece uno que no se reconoce. También puede ser prudente pasar un análisis completo con el antivirus para descartar componentes añadidos.
Para desinstalar una extensión manualmente hay que abrir el menú de tres puntos, entrar en Más herramientas y luego en Extensiones, localizar el complemento y pulsar Quitar. No está de más repetir la comprobación del buscador después. Y, como medida de prevención, es mejor evitar complementos innecesarios de editores desconocidos, sobre todo si prometen cambios en la búsqueda o funciones que no justifican los permisos que solicitan.
También merece la pena fijarse en las valoraciones, los comentarios y la cantidad de usuarios antes de incorporar una herramienta al navegador. Una extensión que necesita modificar el motor de búsqueda o acceder a información de navegación debería explicar con claridad por qué requiere esas autorizaciones. Si no hay una razón comprensible, la prudencia es la opción más sensata. Mantener actualizado Chrome y usar un programa de seguridad ayuda a reducir riesgos asociados con descargas y actividades maliciosas.
Lo práctico no es renunciar a las extensiones, sino elegir menos y con más criterio. Al administrar extensiones en Chrome para optimizar tu navegador, revisa qué complementos tienen acceso a la búsqueda, comprobar el motor predeterminado y retirar lo que no se reconozca reduce la exposición a una red que mueve millones de instalaciones. La tienda oficial no es una garantía absoluta y, si una herramienta solo intercepta consultas o llega desde publicidad dudosa, lo mejor es prescindir de ella.
