El Tabnabbing (Captura de pestañas), es una técnica de phishing avanzada en la que un ciberdelincuente manipula una pestaña inactiva en tu navegador para engañarte y robar tus credenciales. A diferencia del phishing tradicional, que te redirige a sitios web falsos mediante correos o enlaces sospechosos, el tabnabbing aprovecha pestañas abiertas en tu navegador para suplantar páginas legítimas sin que te des cuenta.
Tabnabbing: La Amenaza Invisible en tu Navegador
Este tipo de ataque es difícil de detectar porque el usuario no sospecha que la pestaña abierta ha sido alterada mientras navegaba en otra. Cuando regresa a ella, encuentra una falsa página de inicio de sesión (como Gmail, Facebook o un banco), introduce sus credenciales creyendo que es legítima, y sin saberlo, las envía al atacante.
¿Cómo funciona el Tabnabbing?
El Tabnabbing se basa en manipular pestañas inactivas de un navegador utilizando JavaScript. A continuación, se explica el proceso paso a paso:
- El usuario abre una pestaña con una web aparentemente legítima
- Puede ser un artículo, una página informativa o un sitio de confianza.
- El usuario se distrae y cambia de pestaña
- Mientras navega en otras páginas, la pestaña original queda en segundo plano.
- El atacante cambia la pestaña inactiva
- Usando código JavaScript, el sitio fraudulento modifica la pestaña inactiva para cargar una falsa página de inicio de sesión de un servicio popular como Google, Facebook o un banco.
- El usuario regresa y cree que su sesión ha caducado
- Al ver la supuesta página de inicio de sesión, el usuario introduce sus datos sin notar el engaño.
- El atacante roba las credenciales
- Tan pronto como el usuario ingresa su usuario y contraseña, el atacante recibe la información y la usa para acceder a su cuenta real.
Ejemplo Real de Tabnabbing
Imagina que estás leyendo un artículo en un blog de tecnología y dejas la pestaña abierta. Mientras tanto, revisas redes sociales o ves videos en otra pestaña.
Cuando regresas al blog, en lugar del artículo, la pestaña muestra una pantalla de inicio de sesión de Gmail que dice que tu sesión ha caducado. Sin sospechar nada, ingresas tu correo y contraseña para volver a iniciar sesión… pero en realidad, acabas de enviar tus credenciales a un atacante.
¿Cómo Saber si Fuiste Víctima de Tabnabbing?
El Tabnabbing es sigiloso, pero hay algunas señales que pueden ayudarte a identificar si fuiste víctima de este ataque:
✅ URL sospechosa: Antes de ingresar datos, verifica la barra de direcciones del navegador. Si la URL no es la oficial, no ingreses tu contraseña.
✅ Pestaña que cambia sola: Si al volver a una pestaña abierta, ves una pantalla de inicio de sesión inesperada, es una señal de alerta.
✅ Errores ortográficos o gráficos extraños: Los ciberdelincuentes suelen cometer errores en la interfaz falsa.
✅ Uso de conexiones inseguras: Si la página no tiene el candado de seguridad HTTPS o muestra advertencias de seguridad, no ingreses datos personales.
Cómo Protegerte del Tabnabbing
Verifica siempre la URL antes de ingresar credenciales
- Si al cambiar de pestaña ves un formulario de inicio de sesión, verifica que la dirección web sea la oficial.
- No confíes en páginas que pidan tu contraseña sin motivo aparente.
Cierra sesiones de sitios importantes cuando termines de usarlos
- Evita dejar pestañas de bancos, correos o redes sociales abiertas por mucho tiempo.
Habilita la autenticación en dos pasos (2FA)
- Aunque un atacante robe tu contraseña, la autenticación de dos pasos evitará que acceda a tu cuenta sin un código adicional.
Utiliza un gestor de contraseñas
- Un administrador de contraseñas solo llenará tus credenciales en sitios legítimos, evitando que ingreses datos en páginas falsas.
Desactiva la manipulación de pestañas en tu navegador
- Algunos navegadores permiten bloquear el cambio de pestañas con código JavaScript. Revisa la configuración de seguridad de tu navegador.
Actualiza tu navegador regularmente
- Las actualizaciones suelen incluir mejoras de seguridad contra ataques como el Tabnabbing.
Conclusión
El Tabnabbing es una amenaza silenciosa pero peligrosa que aprovecha nuestra confianza en pestañas abiertas. Sin embargo, con hábitos de seguridad adecuados, podemos prevenir este tipo de ataques y evitar caer en trampas digitales.
Antes de ingresar tus credenciales en una pestaña abierta, revisa la URL y asegúrate de que estás en el sitio correcto.
¡Protégete y mantente alerta ante los riesgos en internet!