Ataque BitB: cuando la ventana de Google parece real

Cuidado con la "Ventana Falsa": Qué es el ataque Browser-in-the-Browser (BitB) que puede robarte tu cuenta de Google

Todos lo hemos hecho: entramos a un sitio y hacemos clic en “Iniciar sesión con Google”. Se abre una ventanita, ingresamos nuestra contraseña y listo. Pero ¿qué pasa si esa ventana no es real, sino una imitación perfecta creada por un atacante?

💡 El concepto en un minuto
El ataque Browser-in-the-Browser (BitB) consiste en crear una ventana de login falsa dentro de la página web usando HTML, CSS y JavaScript. Todo parece idéntico a la ventana real de Google, Microsoft u otro servicio, pero los datos van directo al atacante.

Analogía simple:
Es como si un ladrón colocara una réplica exacta de la ventanilla de tu banco dentro de un local falso. Vos creés que estás en el banco real, pero en realidad estás entregando tu dinero al delincuente.

🕵️ Cómo detectar una ventana falsa (el truco más útil)

• Intentá arrastrarla: Tratá de mover la ventana de login fuera de la pestaña principal del navegador. Si se “corta” o no sale del borde, es falsa. Una ventana real de Google se puede mover libremente por toda la pantalla.
• Maximizá o minimizá: Las ventanas falsas suelen comportarse mal con los botones del sistema o atajos de teclado.
• Verificá el dominio real: Siempre mirá la barra de direcciones de la ventana principal (no la que está dibujada dentro).

🛡️ Regla de oro
Si tenés alguna duda, cerrá todo. Abrí una pestaña nueva, escribí manualmente accounts.google.com y logueate desde ahí. Nunca ingreses tu contraseña en una ventana que apareció de forma inesperada.

🔐 Cómo protegerte de verdad

• ✔️ Usá un gestor de contraseñas (Bitwarden, 1Password, etc.). Solo autocompleta en el dominio correcto.
• ✔️ Activá 2FA / autenticación en dos pasos (preferentemente con app o passkeys, no solo SMS).
• ✔️ Preferí passkeys cuando el sitio las ofrezca (son mucho más resistentes a este tipo de phishing).
• ✔️ Desconfiá de logins inesperados, aunque parezcan perfectos.

❌ Mitos frecuentes

• ❌ “Si tiene candado y el logo de Google, es seguro” → El atacante puede dibujar todo eso con CSS.
• ❌ “Puedo detectarlo fácilmente mirando la ventana” → BitB está diseñado para ser muy convincente.
• ❌ “Esto solo les pasa a usuarios inexpertos” → Afecta a cualquiera que use “Iniciar sesión con Google”.

📚 Glosario rápido

BitB (Browser-in-the-Browser)
Técnica de phishing que simula una ventana de login dentro de una página web maliciosa.

SSO (Single Sign-On)
Inicio de sesión único, como “Iniciar con Google”.

Passkeys
Método de autenticación más seguro que las contraseñas tradicionales (resiste mejor este tipo de ataques).

¿Te sirvió esta alerta?

Explicar amenazas reales y cómo defenderte lleva tiempo. Si valorás este contenido práctico, podés apoyar mi trabajo independiente:

☕ Invitar un Cafecito 💳 Donar con PayPal

Ciberseguridad Directa — Hábitos simples para una vida digital más segura.

Fuente de autoridad:
Kaspersky – Browser-in-the-browser attacks: from theory to reality (marzo 2026).