La empresa de ciberseguridad Socket ha identificado 319 extensiones maliciosas de Chrome que suman 13,4 millones de usuarios en todo el mundo y que cambiaban el buscador del navegador sin que el usuario lo notara. El hallazgo es del investigador John Tuckner y afecta a cualquiera que use Google Chrome en su ordenador, también en España.

Las extensiones se hacían pasar por herramientas útiles, como conversores de PDF o buscadores de manuales, mientras desviaban cada consulta hacia servidores de terceros para ganar dinero. Google ha retirado la mayoría, pero conviene revisar el navegador por si queda alguna instalada.

Qué ha pasado con las extensiones de Chrome

El informe de Socket amplía una investigación anterior publicada en abril de 2025. En esta ocasión, el equipo ha localizado 319 extensiones que comparten una misma técnica: modifican el motor de búsqueda predeterminado de Chrome mediante el ajuste integrado chrome_settings_overrides.

Una vez instaladas, las búsquedas del usuario pasan por un servidor proxy sospechoso antes de llegar a Bing o Yahoo. Con ello, los responsables cobran comisiones por referencias de socios gracias a un identificador de sindicación. El usuario ve resultados normales, así que es fácil que no sospeche nada.

Las dos familias principales

• Bing-Search: 37 extensiones y 2,2 millones de usuarios. Se promocionaba mediante publicidad de pago de Bidbrain.
• SecuryBrowse: 58 extensiones y 4,9 millones de usuarios. Sus nombres imitan herramientas de seguridad, como Fire Shield, Securify o WatchTower.

Fuera de esas dos familias, otras extensiones se presentaban como convertidores de PDF, buscadores de manuales, herramientas de búsqueda segura o asistentes de inteligencia artificial.

Cómo llegaban a los usuarios

Estas extensiones no aparecen al buscarlas directamente en la Chrome Web Store, porque figuran como «no listadas». Los ciberdelincuentes las promocionaban con anuncios de pago, como Google Ads o Bidbrain, que enlazaban directamente a la página de instalación. Quien llegaba desde uno de esos anuncios veía una ficha aparentemente normal en la tienda oficial, lo que daba una falsa sensación de confianza.

A quién afecta en España

Las cifras de Socket son globales y no se desglosan por países, por lo que no se puede saber cuántos usuarios españoles hay entre los 13,4 millones. Aun así, el riesgo es el mismo para cualquier persona que haya buscado un conversor de PDF o una herramienta de búsqueda «segura» y la haya instalado desde un anuncio.

El objetivo actual es el fraude publicitario, pero el riesgo no termina ahí. El servidor proxy puede cambiar el destino de las búsquedas de forma remota y en cualquier momento, sin actualizar la extensión. Eso permitiría redirigir a páginas de phishing, mostrar resultados falsos o llevar a descargas de malware.

Cómo comprobar si tienes alguna y limpiar Chrome

Para la Seguridad Informática del día a día, conviene hacer esta revisión aunque Google ya haya retirado la mayoría de las extensiones detectadas:

• Revisa tus extensiones: escribe chrome://extensions en la barra de direcciones y mira la lista completa. Desconfía de las que no recuerdes haber instalado o de las que tengan nombres como Fire Shield, Securify o WatchTower.
• Comprueba el buscador: entra en chrome://settings/searchEngines y verifica que el buscador predeterminado es el que tú elegiste.
• Elimina lo sospechoso: pulsa «Quitar» en cada extensión dudosa. Si Chrome ya la ha desactivado o marcado como maliciosa, elimínala igualmente.
• Restablece la configuración: en chrome://settings/reset puedes devolver los ajustes a su estado original si el buscador sigue cambiando.
• Pasa un antivirus: un análisis completo del equipo ayuda a descartar otras amenazas.

Si has notado resultados de búsqueda extraños o redirecciones a páginas desconocidas, conviene cambiar también las contraseñas de las cuentas importantes desde un dispositivo limpio.

Contexto: un problema que se repite

La investigación anterior de abril de 2025 ya había descubierto extensiones con la misma técnica. Que el patrón reaparezca a mayor escala muestra que retirar extensiones concretas no basta, porque sus responsables publican otras con nombres distintos.

La principal defensa sigue siendo instalar solo extensiones imprescindibles, desconfiar de las que se ofrecen en anuncios y revisar de vez en cuando qué permisos tienen. Un ajuste tan discreto como el cambio de buscador puede pasar desapercibido durante meses.