Tabnabbing: qué es y cómo evitar esta estafa de pestañas del navegador
Qué es el tabnabbing y por qué es difícil detectarlo mientras navegas
Es habitual que al navegar por internet con Chrome, Firefox u otros navegadores, se mantengan varias pestañas abiertas al mismo tiempo. Puede que tengas abierta la web de un cliente, el correo de Gmail, una página de noticias, tu blog con un artículo a medio escribir y la página de una aerolínea. Te mueves de una pestaña a otra con agilidad y, en un momento dado, la página de la aerolínea ha cambiado, aunque de forma sutil: los colores, la tipografía y hasta el logotipo oficial siguen ahí, pero es otra web. En cuanto introduces los datos de tu tarjeta para reservar el viaje, incluido el CVV, les habrás facilitado información sensible a los estafadores.
El tabnabbing no es una técnica nueva: fue descrita ya en 2010 por el investigador Aza Raskin. Lo que la hace persistente es que se aprovecha del comportamiento multitarea del usuario. Cuando la atención está repartida entre varias pestañas, más aún si hay presión de tiempo o estrés laboral, la probabilidad de detectar que una pestaña ha sido suplantada es muy baja.
Técnicamente, sería posible detectar el fraude consultando el código fuente de la página antes de introducir datos. En la práctica, es una precaución que muy pocos usuarios adoptan y no todos tienen la capacidad técnica para distinguir el código legítimo del fraudulento.
Tipos de tabnabbing: diferencias entre el ataque clásico y el reverse tabnabbing
Existen dos variantes principales de tabnabbing que difieren en su mecánica de ataque.
Tabnabbing clásico o pasivo
Es la modalidad más frecuente. El usuario accede a una web aparentemente legítima e inofensiva y después cambia a otra pestaña, por ejemplo, porque le ha llegado un correo o ha aparecido una notificación. Mientras se está en esa otra pestaña, el contenido de la primera es reemplazado completamente por una página falsa que imita a la original: suele tratarse de webs de banca, empresas de transporte o plataformas de compra. Cuando el usuario regresa, se encuentra con una pantalla de inicio de sesión. Si cree que su sesión ha expirado e introduce sus credenciales, de ese modo se las está entregando directamente al atacante.
Reverse tabnabbing o tabnabbing inverso
En esta variante, el usuario hace clic en un enlace que abre una nueva pestaña en forma de pop-up. Mientras intenta cerrarla o interactúa con ella, la pestaña original desde la que partió es reemplazada por una página falsa. Si en ese momento estaba a punto de completar una pasarela de pago, es probable que acabe introduciendo los datos de su tarjeta sin sospechar nada.
Lo que tienen en común ambas modalidades es que el riesgo aumenta directamente con el nivel de actividad simultánea del usuario: cuantas más pestañas abiertas, mayor dispersión de atención y mayor exposición al engaño.
Cómo protegerse del tabnabbing: medidas prácticas para usuarios y empresas
La primera medida es la más sencilla: limitar el número de pestañas abiertas simultáneamente, especialmente cuando se van a introducir datos sensibles. Antes de escribir credenciales o datos bancarios en cualquier página, verificar que la URL en la barra del navegador corresponde exactamente al dominio legítimo del servicio.
Mantener el navegador actualizado reduce la superficie de ataque, ya que los fabricantes corrigen periódicamente las vulnerabilidades que este tipo de técnicas explotan. El uso de gestores de contraseñas también ayuda: al no autorrellenar credenciales en dominios que no coinciden exactamente con el registrado, funcionan como una capa de verificación adicional.
En entornos corporativos, la formación sobre ingeniería social y la implantación de políticas de navegación segura reducen considerablemente la incidencia de este tipo de ataques, que se dirigen especialmente a usuarios que trabajan bajo presión con múltiples tareas abiertas.
