Know Your Enemy: Browser-Based Attack Techniques in 2026

El na­ve­ga­dor se ha con­ver­ti­do en el en­torno prin­ci­pal donde ocu­rren y se com­ple­tan nu­me­ro­sas vio­la­cio­nes de se­gu­ri­dad, abar­can­do desde el ac­ce­so ini­cial hasta la fil­tra­ción de datos. Ante esta reali­dad, los equi­pos de se­gu­ri­dad deben pres­tar es­pe­cial aten­ción a seis tác­ti­cas pe­li­gro­sas que ex­plo­tan este es­pa­cio.

La pri­me­ra de estas téc­ni­cas in­vo­lu­cra el uso de kits de phishing mo­der­nos ba­sa­dos en in­ter­me­dia­rios y en la nube que in­ter­cep­tan se­sio­nes en vivo y cre­den­cia­les en tiem­po real, omi­tien­do la au­ten­ti­ca­ción mul­ti­fac­tor y ex­pan­dién­do­se a tra­vés de ca­na­les al­ter­na­ti­vos al co­rreo elec­tró­ni­co. Asi­mis­mo, el mé­to­do co­no­ci­do como Click­Fix en­ga­ña a los usua­rios para que eje­cu­ten co­man­dos ma­li­cio­sos dis­fra­za­dos de co­rrec­cio­nes téc­ni­cas, mien­tras que la su­plan­ta­ción de au­to­ri­za­ción abusa de me­ca­nis­mos OAuth y flu­jos de dis­po­si­ti­vos para ob­te­ner to­kens sin in­ter­fe­rir con el ini­cio de se­sión ori­gi­nal.

Otras ame­na­zas re­le­van­tes in­clu­yen el uso de ex­ten­sio­nes de na­ve­ga­dor ma­li­cio­sas —que a me­nu­do pro­vie­nen de com­ple­men­tos le­gí­ti­mos com­pra­dos por ata­can­tes o de he­rra­mien­tas de in­te­li­gen­cia ar­ti­fi­cial no au­to­ri­za­das—, el re­lleno de cre­den­cia­les me­dian­te ini­cios de se­sión fan­tas­ma que es­ca­pan de los re­gis­tros de los pro­vee­do­res de iden­ti­dad, y el se­cues­tro de se­sio­nes me­dian­te to­kens ro­ba­dos por pro­gra­mas ma­li­cio­sos de robo de in­for­ma­ción, pro­pa­ga­dos con fre­cuen­cia en dis­po­si­ti­vos no ges­tio­na­dos.