Tabnabbing: Cómo roban tus claves secuestrando pestañas
¿Qué es el tabnabbing?
Tabnabbing es un tipo de ataque web cuyo nombre en inglés puede traducirse como “secuestro de pestañas del navegador”.
tab = pestaña | nabbing = robar o secuestrar.
👉 En la práctica: una página que abriste cambia cuando no la mirás y se convierte en una falsa.
El objetivo es simple: que ingreses tu contraseña creyendo que estás volviendo a un sitio legítimo como Gmail, Facebook, Instagram o tu banco.
Cómo funciona el ataque
El escenario típico es este:
- Abrís una página desconocida en una pestaña nueva.
- La dejás en segundo plano.
- Minutos después, esa página cambia automáticamente.
- Cuando volvés, ves un supuesto “inicio de sesión”.
- Ingresás tu contraseña… y se la enviás al atacante.
El truco está en que **la transformación ocurre cuando no estás mirando**.
Por qué engaña tan bien
- La pestaña mantiene el mismo icono.
- El título parece real.
- Usa logos auténticos.
- El diseño es idéntico al original.
Muchos usuarios creen que simplemente “se cerró la sesión” y escriben la clave sin sospechar.
Qué datos buscan robar
- contraseñas
- correos electrónicos
- cuentas de redes sociales
- accesos laborales
- datos bancarios
Señales de alerta
Estas situaciones deberían hacerte dudar:
- una pestaña te pide iniciar sesión sin motivo
- la URL es rara o ligeramente distinta
- faltan marcadores guardados
- el certificado HTTPS no coincide
- errores mínimos en textos
Cómo protegerse del tabnabbing
- Revisar la dirección web antes de escribir contraseñas.
- Cerrar pestañas que no estés usando.
- Usar un gestor de contraseñas: solo autocompleta en sitios legítimos.
- Habilitar autenticación en dos pasos.
- Mantener el navegador actualizado.
¿Sigue siendo una amenaza hoy?
Sí, aunque los navegadores modernos incorporaron protecciones, el tabnabbing sigue apareciendo en campañas de phishing y sitios maliciosos.
No es un ataque masivo automático, pero sigue siendo efectivo contra usuarios desprevenidos.
Preguntas rápidas
¿Esto es un virus?
No. Es un ataque web que funciona dentro del navegador, sin instalar software.
¿Puede pasar en cualquier navegador?
Sí, aunque Chrome, Firefox y Edge implementaron defensas contra formas clásicas de tabnabbing.
¿El modo incógnito protege?
No necesariamente. La clave es verificar URLs y usar gestores de contraseñas.
¿Es común?
No es el ataque más frecuente, pero sigue siendo usado porque es simple y efectivo.
Fuentes consultadas
-
OWASP – Tabnabbing
https://owasp.org/www-community/attacks/Reverse_Tabnabbing -
MDN Web Docs – window.opener security
https://developer.mozilla.org/en-US/docs/Web/API/Window/opener
Ciberseguridad Directa — entender los ataques es la mejor forma de evitarlos.
Comentarios
Publicar un comentario
💬 Comentá con respeto.
No publiques datos personales ni enlaces promocionales.
Los mensajes se moderan antes de publicarse.