Una extensión de Chrome peligrosa se reconoce ante todo por lo que pide: permisos que no tienen nada que ver con lo que hace, un desarrollador al que no se puede identificar, una ficha que no dice nada de sus datos. Pero una extensión sana también puede cambiar de manos o ser pirateada, y volverse maliciosa de un día para otro con una simple actualización. Esta guía muestra qué revisar antes de instalar, qué hace Chrome por usted y qué hacer cuando una extensión se tuerce.
Por qué una extensión puede ser peligrosa
Una extensión no es un sitio que se visita: vive dentro del navegador, y lo que usted le permite hacer, lo hace en cada página. Una extensión autorizada a leer y cambiar todos los datos de los sitios web que visita ve lo mismo que usted: los correos que abre en el navegador, los formularios que rellena, las páginas de su banco. También puede modificar esas páginas, añadir publicidad o desviar un enlace.
Se actualiza sola, sin preguntarle nada mientras sus permisos no cambien. Es cómodo, y ese es su punto débil: la extensión que instaló hace tres años no es necesariamente la que funciona hoy.
Tres historias reales
Demuestran que el peligro no siempre viene de una extensión que ya parecía sospechosa al instalarla.
The Great Suspender, 2021. Una extensión muy apreciada, que dormía las pestañas sin usar para liberar memoria. Su autor la cedió en 2020 a un comprador que nunca se dio a conocer. Unos meses después, una nueva versión cargaba código desde un servidor externo. Google la retiró de la tienda a principios de 2021 y la desactivó en los ordenadores, con la advertencia de que contenía software malicioso.
Cyberhaven, Navidad de 2024. Una empresa de seguridad, precisamente. Un correo falso de Chrome Web Store, que amenazaba con retirar su extensión, llevó a un empleado a autorizar una aplicación trampa. Los atacantes publicaron el 25 de diciembre una versión manipulada, instalada automáticamente a sus usuarios, que robaba sus sesiones abiertas. Se retiró ese mismo día, pero la misma campaña alcanzó a otras extensiones.
Extensiones destacadas, 2025. Investigadores de Koi Security encontraron una docena de extensiones corrientes, cuentagotas de color, teclados de emojis, VPN, algunas con la insignia de destacada de la tienda. Se habían portado bien durante mucho tiempo, hasta que una actualización les dio los medios para seguir cada página visitada y redirigir el navegador.
La lección es la misma las tres veces: ni la popularidad ni una insignia protegen de una mala actualización. Lo que protege es instalar pocas extensiones, conceder solo lo necesario y revisar de vez en cuando lo que está instalado.
Antes de instalar: leer la ficha de la tienda
Instale solo desde Chrome Web Store: una extensión ofrecida por una web, un correo o una ventana emergente se salta sus controles. Después, lea la ficha, sobre todo la parte de abajo, a la que nadie llega:
- el desarrollador: un nombre, una web que existe y que habla de la extensión, una dirección de contacto. En la Unión Europea, la ficha indica además si se ha declarado comerciante, lo que le obliga a respetar el derecho de la Unión,
- la sección Privacidad: los datos que la extensión declara tratar y sus compromisos, no venderlos y no usarlos para nada más que su función. Una ficha que declara muchos datos para una función pequeña merece una segunda mirada,
- la fecha de la última actualización: una extensión abandonada desde hace años no es peligrosa en sí, pero está en venta, y así empiezan muchas de estas historias,
- las reseñas más recientes: un cambio brusco de tono, «desde la última versión, anuncios por todas partes», es la primera señal de un nuevo propietario.
Huya de una extensión que copia el nombre de otra muy conocida con una errata o una palabra de más: es un truco habitual para acumular instalaciones.
Los permisos que deben alertarle
Al instalar una extensión, Chrome muestra lo que podrá hacer. Es la ventana más importante, y la que menos se lee. Después, la misma lista aparece en la página de la extensión: chrome://extensions y luego Detalles. Esta es la de una extensión de ejemplo creada para esta guía, que pide mucho.
La pregunta para cada línea: ¿lo necesita de verdad lo que hace la extensión?
- Leer y cambiar todos los datos de los sitios web que visita: el más amplio. Normal para un bloqueador de anuncios, un gestor de contraseñas o un corrector ortográfico, que tienen que actuar en todas las páginas. Sospechoso para un cuentagotas de color, un temporizador o un fondo de pantalla,
- Leer y modificar el historial de navegación: la extensión sabe adónde va usted. Rara vez hace falta,
- Leer los datos que copia y pega: una contraseña copiada, un número de tarjeta, todo pasa por ahí,
- Gestionar aplicaciones, extensiones y temas: una extensión capaz de desactivar otras, incluidas las que le protegen.
Si una actualización pide un permiso nuevo que merece una advertencia, Chrome desactiva la extensión y espera su aprobación para volver a activarla. No haga clic por inercia: es justo el momento en que una extensión vendida cambia de naturaleza.
Limitar lo que una extensión puede ver
En la misma página, la sección Acceso a sitios ofrece tres ajustes:
- Al hacer clic: la extensión no hace nada hasta que usted hace clic en su icono, en la página abierta,
- En sitios específicos: solo en los sitios que usted indique,
- En todos los sitios: el ajuste por defecto de las que lo piden.
«Al hacer clic» conviene a muchas extensiones que solo se usan de vez en cuando: un traductor, una herramienta de capturas, una herramienta para desarrolladores. Nuestra guía para gestionar extensiones de Chrome detalla esa página, de fijar a quitar.
La protección mejorada de Chrome
Chrome compara las extensiones, los sitios y las descargas con las listas de Navegación segura de Google. El ajuste está en la configuración de Chrome, Privacidad y seguridad y luego Seguridad.
- Protección estándar, la de todo el mundo: Chrome bloquea lo que se sabe que es peligroso,
- Protección mejorada: Chrome comprueba además en tiempo real, y la tienda le avisa antes de instalar una extensión de un desarrollador que todavía no conoce. Google solo confía en un desarrollador tras varios meses de cumplir sus normas: el aviso no dice que la extensión sea maliciosa, solo que es nueva o que su desarrollador aún no ha demostrado nada.
La contrapartida está escrita bajo la opción: con la protección mejorada, se envían más datos de navegación a Google para analizarlos. Usted decide.
La comprobación de seguridad
Cuando Google retira una extensión de la tienda porque contiene software malicioso, Chrome la desactiva en los ordenadores. Para los demás casos, una extensión retirada por Google, despublicada por su desarrollador o señalada como peligrosa, la Comprobación de seguridad, en Privacidad y seguridad, se la señala y propone quitarla.
Basta con echarle un vistazo cada mes o dos. Aquí, nada que señalar.
Señales de que una extensión se ha vuelto maliciosa
Una extensión que cambia de naturaleza suele dejar rastro:
- anuncios donde no los había, o enlaces que llevan a otro sitio del anunciado,
- un buscador o una página de inicio que cambian sin que usted los toque,
- pestañas que se abren solas,
- una extensión desactivada por Chrome porque pide permisos nuevos,
- un navegador de repente más lento, con una extensión en cabeza del Administrador de tareas de Chrome (el menú de tres puntos, Más herramientas, Administrador de tareas).
Para encontrar a la culpable, desactívelas todas y vuelva a activarlas una a una.
Qué hacer si una extensión parece sospechosa
- Quítela desde
chrome://extensions. Desactivarla no basta si sospecha de ella: puede volver a activarse por error. - Cierre la sesión de sus cuentas importantes y cambie sus contraseñas, empezando por el correo y el banco. Una extensión que robaba sesiones abiertas no necesita su contraseña: cerrar sesión en todas partes invalida lo que se llevó.
- Denúnciela desde su ficha de Chrome Web Store, con el enlace para informar al pie de la página. Es lo que permite a Google actuar por los demás.
- Revise sus ajustes: buscador, página de inicio, página de nueva pestaña. A una extensión maliciosa le encanta cambiarlos.
¿Y Hoome?
Hoome es nuestra extensión de nueva pestaña, así que conviene aplicarle esta guía. En su página de detalles, Chrome solo muestra un permiso, «Cambiar la página que ves al abrir una nueva pestaña», y el acceso a dos sitios, los servicios de iconos de donde descarga los logotipos de sus accesos directos. No lee las páginas que visita, ni su historial, ni lo que copia. Sus accesos directos, notas y ajustes se quedan en su navegador y, si la activa, pasan por la sincronización de su navegador. Solo la sincronización de la cuenta, con Premium, deposita una copia en nuestros servidores, y un interruptor la detiene. La privacidad estricta desactiva incluso el tiempo y los iconos. Los detalles están en nuestra política de privacidad.
Es lo que cabe esperar de una extensión de nueva pestaña: sustituye una página, no necesita leer las demás.
Preguntas frecuentes
¿Se revisan las extensiones de Chrome Web Store? Sí, cada una se revisa al publicarse y al actualizarse, en parte de forma automática. Eso detiene mucho, no todo: las historias de arriba pasaron por la tienda.
¿Una extensión popular es segura? No necesariamente. Una extensión popular es justo lo que buscan los compradores con malas intenciones: sus usuarios ya están ahí, y la actualización automática les entrega la nueva versión.
¿Un antivirus protege de las extensiones? Rara vez: para él, una extensión es parte de Chrome. La protección viene del propio Chrome y de sus decisiones.
¿Funcionan las extensiones en incógnito? Solo las que usted autoriza, con el ajuste Permitir en incógnito de su página de detalles, desactivado por defecto. Déjelo así, salvo para una extensión de toda confianza.
¿Cuántas extensiones conviene tener? Las menos posibles. Cada una es una puerta más: nuestra selección de las mejores extensiones de Chrome propone una por necesidad, no diez.
En resumen
- Instale desde Chrome Web Store y lea la ficha hasta abajo: desarrollador, privacidad, última actualización, reseñas recientes,
- compare cada permiso con lo que hace la extensión y limite el acceso a sitios cuando pueda,
- cuando Chrome desactive una extensión que pide permisos nuevos, pregúntese por qué antes de aceptar,
- pase la Comprobación de seguridad de vez en cuando y quite lo que ya no usa,
- ante la menor duda: quitar, cerrar sesión en todas partes, cambiar las contraseñas, denunciar.