Durante casi dos años, decenas de miles de personas confiaron en pequeñas herramientas de Chrome para copiar texto, usar OCR o revisar métricas SEO, sin sospechar que esas mismas extensiones se habían transformado en armas para robar contraseñas, historial de navegación y billeteras de criptomonedas. La firma de ciberseguridad Socket destapó la operación, y el reporte fue confirmado por PCWorld, que recomienda desinstalar de inmediato cualquiera de las 19 extensiones comprometidas, incluso si ya no aparecen en la tienda oficial.
Cómo un complemento «útil» se volvió una trampa
El truco de los atacantes fue tan simple como efectivo. En lugar de crear extensiones falsas desde cero, aprovecharon complementos legítimos que ya tenían miles de usuarios y una reputación ganada con reseñas positivas. Según PCWorld, 14 de las 19 extensiones fueron creadas directamente por los propios atacantes, mientras que las otras 5 fueron desarrolladas originalmente por programadores independientes y luego compradas por el grupo criminal, que aprovechó la base de usuarios existente para inyectar el código malicioso mediante actualizaciones posteriores.
El caso más grave es el de «Enable Right Click & Copy – Smart Unlock + OCR», una extensión que prometía habilitar el clic derecho y copiar texto en sitios que lo bloquean. Antes de ser retirada de la Chrome Web Store, había acumulado unos 70.000 usuarios. El malware, instalado mediante una puerta trasera (backdoor), lograba interceptar el historial de navegación, las credenciales de acceso y los tokens de billeteras cripto sin que la víctima notara nada extraño.
La lista completa que debes revisar en tu navegador
Estas son las 19 extensiones señaladas por la investigación, que deben eliminarse aunque hayan sido descargadas hace tiempo y ya no se usen activamente:
- Enable Right Click & Copy — Smart Unlock + OCR
- RapidLens – Google Lens for Screen Search & Images
- QuickLens – Search Screen with Google Lens
- Password Protect PDF
- Allow Copy – Select & Enable Right Click (versión Edge)
- PixelCheck
- Creative Library – Ad Spy Tool
- Website Traffic Checker: MirrorSphere SEO Stats
- Site Signal – Website Traffic & SEO Checker
- SEO Pulse Pro – Website Traffic & SEO Analyzer
- Private Crypto News Reader
- Blockfolio: Address Monitor
- Crypto Rates & Fiat Converter
- Crypto Alerter: Price Alarms & Volatility Warnings
- DeFi Pulse Tracker
- Crypto Price Badge: Quick Glance
- Multi-Chain Explorer
- LedgerLook: Wallet Checker
- Meta & Facebook Ad Library Spy — Save Ads, Finder, Downloader | FeedX-Ray
Por qué el peligro sigue activo aunque Google ya haya reaccionado
Google y Microsoft retiraron las extensiones infectadas de sus tiendas oficiales una vez conocido el informe, pero eso no soluciona nada para quien ya las tenía instaladas: ninguna se elimina automáticamente del navegador. Los usuarios afectados no reciben ninguna notificación cuando su extensión es retirada de la tienda, por lo que el malware puede seguir operando en segundo plano de forma indefinida hasta que la persona la desinstale manualmente.
Ese punto es clave para entender la urgencia: la campaña maliciosa lleva activa alrededor de dos años prácticamente sin ser detectada, según Socket, precisamente porque el ataque se camufla dentro de herramientas que sí cumplían su función anunciada. No hay ventanas de pop-up sospechosas ni permisos evidentes que delaten el robo; el código malicioso trabaja en silencio mientras la extensión sigue «funcionando normalmente».
Qué hacer ahora mismo
Si detectas cualquiera de estas 19 extensiones instalada en Chrome o Edge, elimínala de inmediato desde el menú de extensiones del navegador, cambia las contraseñas de tus cuentas principales y revisa el historial de tus billeteras cripto por movimientos no autorizados. Recuerda revisar periódicamente que todos los complementos instalados sigan oficialmente soportados por el navegador, y complementar esa revisión con un antivirus actualizado, ya que «esos pocos clics pueden marcar la diferencia» entre mantener tus datos seguros o perderlos sin siquiera enterarte.
