¿Cómo pueden las extensiones de navegador ver tu cuenta de trading? Los permisos que otorgas pueden ir más allá de lo que piensas

Instalaste una extensión de traducción para leer la documentación del proyecto y agregaste una herramienta de alerta de precios para vigilar el mercado. Durante la instalación, tu navegador te pidió permiso para “Leer y cambiar todos tus datos en todos los sitios web”, y lo aceptaste sin pensarlo mucho.

 

Pero ese permiso puede extenderse mucho más allá de traducir artículos o mostrar precios. Si el acceso de la extensión incluye el sitio web de su exchange, también puede poder leer las páginas de cuenta que abra después de iniciar sesión, e incluso modificar su contenido. No necesita necesariamente su contraseña de cuenta ni su clave de API para hacerlo.

 

Proteger tu cuenta de trading significa ir más allá de “¿Quién conoce mi contraseña?”. También significa hacerse una pregunta a menudo pasada por alto: ¿Quién tiene permiso para leer y modificar la página web que tengo frente a mí?

Una extensión de navegador es más que solo un ícono en tu barra de herramientas. Con los permisos adecuados, puede ejecutar código en sitios web dentro de su ámbito autorizado, leer el contenido de la página, ajustar el diseño de la página y enviar la información que lee a otros componentes de la extensión. Funciones como la traducción y el relleno automático dependen de estas capacidades.

 

El problema es que los permisos de acceso al sitio web definen dónde puede operar una extensión, no si cada acción coincide con el propósito que tienes en mente. “Ayúdame a traducir esta descripción del proyecto” no significa automáticamente “Solo lee esta descripción del proyecto.” Si permites que una extensión acceda a todos los sitios web, ese acceso también puede cubrir tu exchange y tu correo web.

 

Usando Chrome como ejemplo, los siguientes permisos y capacidades merecen atención especial. Estas capacidades dependen de los permisos específicos otorgados: el acceso a todos los sitios web no otorga automáticamente acceso al portapapeles ni acceso a través de la API de Cookies.

 

Permiso o capacidad	Qué puede acceder la extensión	Riesgos potenciales de la cuenta
Lee y cambia las páginas web a las que tiene permiso para acceder	Texto, formularios, botones e información ya cargados en las páginas de cuenta	Una extensión maliciosa puede leer saldos, posiciones o detalles de órdenes, o modificar lo que se muestra en la página y el contenido de los campos de entrada.
Leer o escribir en el portapapeles	Texto copiado, como una dirección de destinatario; las capacidades exactas dependen de si la extensión tiene permiso de lectura, permiso de escritura o ambos	Con acceso de lectura al portapapeles, una extensión maliciosa puede leer información sensible que copie. Con acceso de escritura al portapapeles, puede reemplazar la dirección de retirada copiada antes de que la pegue.
Acceder a las cookies del sitio web a través de la API de Cookies	Cookies para sitios web autorizados, que pueden incluir información que mantiene su estado de inicio de sesión	Si las cookies robadas contienen credenciales de sesión válidas, un atacante puede intentar secuestrar su sesión. En Chrome, el acceso a través de esta API requiere tanto el permiso cookies como los permisos correspondientes del sitio web.

El siguiente es un escenario hipotético que ilustra el riesgo, no un informe de un incidente divulgado específico.

 

Para leer artículos en inglés, Lin instala una extensión de traducción y le permite acceder a todos los sitios web. Algunos días después, abre su exchange desde un marcador, inicia sesión como de costumbre y se prepara para revisar sus activos y realizar un retiro.

 

Suponga que la extensión contiene código malicioso y ya se le ha otorgado acceso al sitio web del exchange. El riesgo podría desarrollarse de la siguiente manera:

 

Primero, lee la página y busca oportunidades. Cuando Lin abre sus páginas de activos y órdenes, la extensión lee la información ya mostrada o cargada allí. Puede ser capaz de ver este contenido sin necesidad de solicitar por separado acceso a la API del exchange ni pedirle a Lin que vuelva a ingresar su contraseña.

 

Luego, modifica lo que él ve o está a punto de enviar. Por ejemplo, podría cambiar la dirección del destinatario mostrada en la página, alterar el formulario de retiro o insertar una ventana de “verificación de seguridad” que parece provenir de la plataforma. Estas son formas posibles de abusar del acceso de lectura y escritura a la página web. Si la extensión puede continuar realizando acciones sensibles aún depende de los procedimientos de verificación y controles de riesgo de la plataforma.

 

La parte más engañosa es esta: el dominio en la barra de direcciones puede seguir siendo correcto.

 

HTTPS protege los datos en tránsito entre tu navegador y el sitio web. No impide automáticamente que una extensión autorizada lea o modifique la página web localmente. Por lo tanto, aún es necesario verificar el dominio oficial, pero esto no reemplaza la revisión de tus extensiones de navegador.

 

El sitio web que visitas puede ser legítimo, pero la página que ves aún podría haber sido modificada por una extensión de navegador maliciosa.

Después de iniciar sesión, los sitios web suelen utilizar credenciales de sesión para reconocer solicitudes posteriores. Si un atacante obtiene credenciales de sesión válidas, puede intentar utilizar su sesión autenticada existente en lugar de comenzar de nuevo con una contraseña y un código de verificación. Si tienen éxito también depende de la expiración de la sesión, las verificaciones de dispositivo y otros controles de seguridad.

 

Incluso sin robar credenciales de sesión, una extensión maliciosa podría poder leer tus páginas de cuenta después de iniciar sesión normalmente. Habilitar la autenticación de dos factores no oculta automáticamente tus saldos, órdenes o formularios de retiro de extensiones que tienen permiso para acceder a la página web. La verificación de inicio de sesión y los permisos de acceso a la página web cumplen propósitos diferentes.

4.1 Limitar el acceso a "Todos los sitios web" a lo que realmente se necesita

En Chrome, ve a Extensiones → Administrar extensiones → Detalles para revisar los permisos de acceso a sitios de una extensión. Para herramientas que no necesitan acceso continuo a páginas web, elige la opción que permite el acceso solo cuando hagas clic en la extensión, si está disponible. Para herramientas que solo sirven a algunos sitios web, restringe el acceso a esos sitios específicos. Los nombres exactos de las opciones pueden variar según la versión y el idioma.

 

Una herramienta para leer artículos no debería tener acceso continuo a tu exchange y correo electrónico solo por conveniencia. Otorga acceso solo cuando sea necesario, en lugar de dejarlo permanentemente habilitado en todos los sitios web.

4.2 Mantenga un entorno limpio para el trading y el correo electrónico

Mantenga las actividades de trading separadas de la prueba de nuevas extensiones, la descarga de herramientas desconocidas y actividades similares. Considere usar un navegador separado sin extensiones innecesarias. Para transacciones de alto valor, considere usar un dispositivo dedicado.

 

No proteja solo sus páginas de exchange mientras permite que numerosas extensiones accedan a su cuenta de correo electrónico vinculada. Su bandeja de entrada puede recibir enlaces de restablecimiento de contraseña, alertas de seguridad y mensajes de verificación, lo que la convierte en parte del proceso de recuperación de cuenta.

 

El modo incógnito no garantiza que las extensiones estén deshabilitadas. Chrome permite que extensiones individuales se ejecuten en modo incógnito si las autorizas explícitamente, por lo que también revisa esa configuración.

4.3 Reevaluar la confianza al instalar o actualizar

Antes de instalar una extensión, verifique la identidad del desarrollador, confirme que está descargándola desde una fuente oficial y revise su descripción de funciones. No tome su decisión basándose únicamente en su nombre, ícono o calificaciones. Elimine las extensiones que ya no utiliza.

 

Si una actualización solicita permisos adicionales, no los aceptes simplemente para restaurar la funcionalidad. Cuando una extensión añade permisos que generan una advertencia, Chrome requiere que los usuarios acepten los nuevos permisos antes de volver a habilitarla. Trata ese mensaje como una oportunidad para reevaluar la extensión, no como una confirmación rutinaria.

 

Pregúntate: ¿Por qué una herramienta que anteriormente solo mostraba el precio de mercado ahora necesita acceso a más sitios web o permiso para leer el portapapeles?

4.4 Mantenga las medidas de seguridad a nivel de cuenta

Habilite la autenticación de dos factores de la plataforma, la contraseña de trading y cualquier restricción de dirección de retirada disponible. Antes de realizar una retirada, verifique la dirección completa del destinatario, la red y la cantidad contra una fuente independiente y confiable. No considere dos visualizaciones de la misma información en una sola página web como dos verificaciones independientes.

 

Si una dirección, botón o proceso de verificación parece inusual de repente, detenga lo que está haciendo y verifíquelo a través de canales oficiales en un dispositivo de confianza. No continúe siguiendo instrucciones en una página sospechosa para “reparar su cuenta”.

Si sospecha que una extensión es maliciosa, deje de ingresar contraseñas o códigos de verificación en ese navegador. Siga los siguientes pasos en orden:

1. Detenga las actividades sensibles y aísle el entorno sospechoso. No continúe iniciando sesión, creando claves de API ni realizando retiros. Registre el nombre, la versión y la fuente de la extensión sospechosa, luego desábelo o elimínelo. Cierre cualquier página de cuenta abierta y salga del navegador. También revise su dispositivo en busca de otro software sospechoso.

2. Utiliza otro dispositivo de confianza para revisar tu cuenta y limitar posibles pérdidas. Usa la aplicación oficial o navega directamente al sitio web oficial para revisar tus órdenes, historial de retiros y configuraciones de seguridad. Si encuentras actividad no autorizada, contacta inmediatamente al soporte oficial y utiliza cualquier función disponible para congelar o restringir tu cuenta.

3. Dirección con credenciales y autorizaciones potencialmente comprometidas. En un entorno confiable, cambie cualquier contraseña que pueda haberse expuesto, revoque sesiones de inicio de sesión sospechosas, elimine o reemplace claves de API potencialmente comprometidas, y verifique la presencia de direcciones de retirada desconocidas o cambios en la configuración de seguridad. Borrar las cookies en su propio dispositivo no invalida una sesión mantenida por un atacante; la sesión también debe ser revocada en el servidor.

4. Verifica también tu cuenta de correo electrónico vinculada. Revisa los inicios de sesión recientes, los métodos de recuperación, las reglas de reenvío y los permisos de acceso de terceros. Después de asegurar tu cuenta de exchange, no dejes tu correo electrónico vinculado accesible para otras personas.

Si has ingresado una frase semilla o clave privada en una extensión sospechosa, trata esas credenciales como comprometidas. Eliminar la extensión o cambiar la contraseña de desbloqueo de la aplicación del monedero no invalidará una frase semilla o clave privada expuesta. Crea un nuevo monedero con una frase semilla recién generada en un dispositivo de confianza, luego transfiere cuidadosamente los activos relevantes a él.

Una extensión puede ofrecer solo traducción, alertas o relleno automático, pero eso no significa que necesites darle acceso a todos los sitios web.

 

Antes de instalarlo, pregunta qué acceso necesita. Mientras lo uses, limita los sitios a los que puede acceder. Si algo parece sospechoso, sal primero del entorno sospechoso, luego aborda la seguridad de tu cuenta.

 

Recuerda: 

La descripción de la función le indica qué pretende hacer una extensión. Sus permisos determinan qué se le permite hacer. Proteger su cuenta de trading comienza con tomar cada solicitud de permiso en serio.