Chrome se prepara para bloquear las extensiones que secuestran tu buscador y tu página de inicio
Google trabaja en un cambio de calado dentro de Chromium que afectará directamente a uno de los abusos más veteranos del navegador: las extensiones que, una vez instaladas, se apropian de la página de nueva pestaña y del motor de búsqueda predeterminado. Según el código en desarrollo, Chrome pasará a bloquear por defecto esas modificaciones, en lugar de permitirlas siempre que el complemento haya declarado el permiso correspondiente. La medida está todavía en fase de pruebas, pero apunta a convertirse en uno de los ajustes de seguridad más visibles del navegador más usado del mundo.
El movimiento no es casual. Las extensiones se han consolidado como una de las vías de ataque más rentables contra el usuario final: no requieren una vulnerabilidad del sistema operativo, no necesitan sortear un antivirus y, sobre todo, el propio usuario es quien las instala voluntariamente y quien concede los permisos. Basta con una utilidad que prometa capturas de pantalla, cupones de descuento o un conversor de PDF para que millones de personas acepten un cuadro de diálogo sin leerlo.
Qué es exactamente el secuestro del navegador
El llamado browser hijacking no implica necesariamente un virus. Se trata de software que altera el comportamiento previsto del navegador aprovechando permisos legítimos concedidos en la instalación. El patrón habitual es siempre el mismo: la extensión sustituye la página de nueva pestaña por una propia y redirige las búsquedas a través de un servicio intermedio. Cada consulta pasa entonces por un tercero que monetiza el tráfico mediante publicidad o programas de afiliación, mientras el usuario cree seguir usando su buscador de siempre.
Las consecuencias van más allá de la molestia. Ese intermediario puede registrar el historial completo de búsquedas, correlacionarlo con la dirección IP y el resto de datos del navegador, mostrar anuncios no solicitados, inyectar resultados patrocinados entre los orgánicos e incluso servir como puerta de entrada para descargar otros componentes maliciosos. En la práctica, una extensión con permisos amplios ve todo lo que el usuario ve.
El problema de los permisos excesivos
La raíz del asunto está en el modelo de permisos. Muchas extensiones solicitan acceso a «todos los sitios web» cuando su función real solo necesitaría trabajar en una página concreta. Ese exceso, tolerado durante años, es lo que permite que un complemento aparentemente inofensivo cambie configuraciones críticas o lea el contenido de cualquier pestaña. La transición a Manifest V3 ya recortó parte de esas capacidades, pero el control de la nueva pestaña y del buscador seguía siendo territorio abierto.
A ello se suma un riesgo menos evidente: el cambio de manos. Una extensión honesta con una base de usuarios consolidada es un activo con valor de mercado. Cuando su desarrollador la vende —o cuando su cuenta es comprometida—, la actualización automática instala en miles de equipos un código completamente distinto sin que nadie tenga que aceptar nada nuevo. El historial reciente de las tiendas de complementos está lleno de casos así.
Impacto en empresas y centros educativos
El efecto no se limita al usuario doméstico. En organizaciones y centros educativos, donde los equipos suelen compartirse y la instalación de complementos no siempre está restringida, un secuestro del navegador puede convertirse en una fuga de información sostenida en el tiempo. Los responsables de sistemas cuentan con políticas de grupo para definir listas blancas de extensiones permitidas, bloquear el resto y fijar el buscador corporativo, pero esas políticas siguen infrautilizadas en pymes sin departamento de TI propio.
Para esas organizaciones, el cambio de Chrome supone una red de seguridad por defecto: aunque nadie haya configurado nada, el navegador se resistirá a que un complemento altere piezas clave de su configuración. No sustituye a una política de extensiones bien definida, pero eleva el suelo mínimo de protección.
Qué puede hacer el usuario mientras tanto
Hasta que la medida llegue al canal estable conviene aplicar la higiene básica: revisar periódicamente la lista de extensiones instaladas y desinstalar las que no se usen, comprobar en el detalle de cada una qué permisos tiene concedidos y restringir el acceso a «solo en los sitios que yo indique» cuando sea posible, y desconfiar de cualquier complemento que exija cambiar la página de inicio o el buscador para funcionar. Si las búsquedas ya se redirigen a un servicio desconocido, el primer paso es revisar los complementos activos antes de reinstalar el navegador.
La iniciativa de Google confirma una tendencia de fondo en la industria: los navegadores están asumiendo que el usuario no puede evaluar correctamente cada permiso que concede, y que la seguridad debe venir configurada de fábrica en lugar de depender de decisiones informadas. Es un reconocimiento tardío, pero necesario, de que el eslabón más débil nunca estuvo en el código sino en un cuadro de diálogo aceptado con prisa.
