Extensión de VPN destacada en Chrome intercepta millones de chats de IA

Se ha emitido una severa advertencia a la comunidad de ciberseguridad y a millones de usuarios de navegadores tras descubrirse que una extensión de Chrome muy instalada y destacada por Google operaba como una herramienta sofisticada de interceptación de datos. La extensión en cuestión, Urban VPN Proxy, que contaba con millones de descargas de la Chrome Web Store oficial, ha sido descubierta secuestrando conversaciones de usuarios con plataformas de IA generativa, lo que constituye una de las mayores brechas de confianza en el ecosistema de extensiones en los últimos años.

La investigación determinó que Urban VPN Proxy, comercializada como una solución de privacidad gratuita, estaba programada para identificar y capturar el tráfico de red dirigido a los dominios de los principales servicios de IA. Cuando los usuarios interactuaban con chatbots en plataformas como ChatGPT de OpenAI, Claude de Anthropic o Gemini de Google, sus prompts—que podían incluir información empresarial propietaria, datos personales sensibles o código confidencial—eran duplicados en silencio y transmitidos a servidores controlados por los operadores de la extensión. Esta exfiltración ocurría en tiempo real, sin el más mínimo conocimiento del usuario, quien creía estar usando simplemente una VPN para mejorar su privacidad.

Este incidente proyecta una luz cruda sobre los riesgos inherentes de las extensiones de navegador, especialmente aquellas que solicitan permisos amplios de 'leer y cambiar todos tus datos en los sitios web que visitas'. Las extensiones de VPN, por su naturaleza, requieren acceso profundo al sistema para redirigir el tráfico, pero esto crea una cobertura perfecta para actividades maliciosas. El estatus 'destacado' de Urban VPN Proxy en Chrome Web Store proporcionaba una falsa apariencia de legitimidad, adormeciendo la sensación de riesgo de usuarios e incluso de algunos equipos de seguridad empresarial. La popularidad y alta calificación de la extensión funcionaron efectivamente como una prueba social, oscureciendo su verdadera función.

La metodología técnica implicaba que la extensión inyectaba scripts en las páginas visitadas para monitorizar envíos de formularios y llamadas API. Apuntaba específicamente a las estructuras JSON utilizadas por las interfaces de chat de IA, analizando la consulta del usuario antes de que fuera encriptada y enviada al servicio legítimo. Este tipo de ataque Man-in-the-Browser (MitB) es particularmente insidioso porque ocurre después de cualquier encriptación HTTPS potencial, en el punto donde los datos son más vulnerables dentro de la propia sesión del navegador del usuario.

Las implicaciones más amplias para la ciberseguridad son graves. En primer lugar, demuestra un ataque sofisticado a la cadena de suministro donde se utilizó una plataforma de distribución de software confiable—Chrome Web Store—para distribuir malware. En segundo lugar, destaca la amenaza específica que enfrentan las aplicaciones de IA como objetivos de alto valor para la recolección de datos. Los prompts enviados a estos modelos suelen ser únicos, valiosos y pueden revelar secretos comerciales, planes estratégicos o identificadores personales.

En respuesta a este panorama de amenazas, proveedores comerciales de VPN reputados están enfatizando sus auditorías de seguridad y políticas de no registros. Servicios como NordVPN y Surfshark, a menudo recomendados en círculos de seguridad, están promocionando conjuntos de funciones mejorados e informes de transparencia para diferenciarse de operadores fraudulentos. Simultáneamente, se destacan ofertas de servicios establecidos como Private Internet Access (PIA), no solo por su precio, sino por su compromiso probado con la privacidad del usuario y la validación de seguridad externa.

Las recomendaciones de la comunidad de ciberseguridad son claras: Las organizaciones deben auditar rigurosamente las extensiones de navegador permitidas en dispositivos corporativos, tratándolas con el mismo escrutinio que cualquier otro software endpoint. Los usuarios individuales deben practicar una cautela extrema con los servicios y extensiones de VPN gratuitos, verificando la reputación del desarrollador y limitando los permisos siempre que sea posible. Además, para interacciones con modelos de IA sensibles, el uso de aplicaciones dedicadas y aisladas o perfiles de navegador sin extensiones puede ser una precaución de seguridad necesaria.

Este caso es un momento pivotal para la seguridad del navegador. Hace necesario una reevaluación de los modelos de permisos de extensiones y los procesos de revisión de las tiendas por parte de operadores de plataformas como Google. Hasta que se realicen cambios sistémicos, el 'espía en tu navegador' seguirá siendo una amenaza potente y peligrosamente común.