Una nueva estafa tiene como objetivo a quienes publican Chrome .
La estafa se presenta en forma de una «solicitud de retirada por motivos de derechos de autor» con aspecto oficial, en la que se afirma que tu extensión está a punto de ser retirada de la Chrome Store y que tienes 48 horas para presentar una reclamación.
Incluso parece personalizado. Una vez que introduces el ID de tu extensión para «verificarla», la página muestra el nombre real y el icono de tu extensión. Pero todo forma parte de un ataque de phishing diseñado para robar tu nombre de usuario y contraseña de Google.
Si los atacantes consiguen acceder a una cuenta de desarrollador, podrían hacerse con el control de la extensión, acceder a los recursos del desarrollador o, incluso, enviar actualizaciones maliciosas a los usuarios.
¿Qué está pasando realmente?
Si has publicado una Chrome , es posible que te encuentres con una página que parece un aviso oficial de Google en el que se te advierte de que tu extensión va a ser retirada por infringir los derechos de autor.
La página te pide que introduzcas el ID de tu extensión y, a continuación, muestra los datos reales de tu extensión junto con un número de reclamación y un reloj con cuenta atrás. Te insta a iniciar sesión con Google para presentar una apelación antes de que se agote el tiempo.
Nada de esto es real. La página no la gestiona Google. La queja, el plazo y la cuenta atrás son falsos. El objetivo es engañarte para que introduzcas tu nombre de usuario y contraseña de Google en una ventana de inicio de sesión falsa controlada por el estafador.
La regla más importante que debes recordar: las advertencias auténticas sobre tu extensión aparecen en el panel de control para desarrolladores de la Chrome Store, no en una página web de terceros.
¿Por qué los estafadores quieren cuentas de desarrollador?
Chrome tienen acceso a los navegadores de los usuarios y se pueden actualizar automáticamente.
Si los atacantes logran hacerse con el control de una cuenta de desarrollador, podrían modificar una extensión, acceder a los recursos de los desarrolladores o, potencialmente, distribuir actualizaciones maliciosas a los usuarios actuales.
Eso es lo que hace que las cuentas de desarrolladores sean objetivos tan atractivos, y la razón por la que este tipo de estafas son tan frecuentes.
Cómo funciona la estafa
La página está alojada en un dominio que no tiene nada que ver con Google. En la versión que analizamos, el sitio utilizaba la dirección dmca-chrome-extensions[.]click.
A pesar de ello, utiliza la marca de Google y se presenta como un «Centro de políticas para desarrolladores deChrome Store».
La página te pide primero el enlace o el ID de tu extensión. Parece inofensivo, y precisamente por eso funciona.
Utiliza tu propia extensión para parecer convincente
Una vez que introduzcas el ID de tu extensión, la página mostrará brevemente el mensaje «Buscando la extensión...» y, a continuación, generará una notificación de retirada falsa en torno a tu extensión real.
Cuando probamos la estafa con Malwarebytes Browser Guard, este mostró el nombre, el icono y la ficha de la Chrome Store de nuestra extensión auténtica junto a la queja falsa.
El sitio web simplemente extrae información disponible públicamente de la página de tu extensión en Chrome Store. Cualquiera puede ver esa información. Los estafadores la utilizan para que el aviso falso parezca legítimo.
Todo lo demás es inventado.
El número de reclamación, la «fecha de recepción», el plazo de 48 horas, el temporizador de cuenta atrás y la cronología de los hechos son generados por la propia página fraudulenta.
La cuenta atrás está ahí para meterte prisa
Un banner de advertencia en rojo advierte de que tu extensión será eliminada definitivamente a menos que actúes en un plazo de 48 horas, y un reloj cuenta atrás por segundos. Todo el diseño te empuja hacia un único botón: iniciar sesión con Google para «verificar tu identidad» y presentar tu recurso.
La sensación de urgencia está pensada para presionarte y que actúes antes de tomarte el tiempo necesario para comprobar la afirmación.
La ventana de inicio de sesión falsa
Al hacer clic en «Continuar con la verificación», aparece una ventana de inicio de sesión de Google con una barra de título, un candado y la dirección visible accounts.google.com.
Parece auténtico, pero no lo es.
La «ventana» forma parte, en realidad, de la propia página web. El candado y la dirección son solo elementos gráficos diseñados para parecer una ventana de navegador real.
Los estafadores llegan incluso a adaptar el aspecto de la interfaz para que coincida con tu sistema operativo, mostrando windows Mac windows Windows con macOS y windows Windows windows Windows .
Todo lo que se escriba en este formulario de inicio de sesión falso se envía directamente a los estafadores.
Una pista es que la ventana no puede salir de la página del navegador. Intenta arrastrarla hasta el borde de la pantalla y verás que se detiene en el borde del navegador. Si minimizas el navegador, también desaparece.
Lo más importante es que la barra de direcciones real de tu navegador sigue mostrando la dirección del sitio fraudulento, no la de Google.
Cómo mantenerse seguro
La buena noticia es que basta con unos sencillos hábitos para evitar esta estafa.
- No te fíes del enlace. Si recibes una advertencia sobre tu extensión, ve directamente al panel de control para desarrolladores de la Chrome Store y compruébalo allí.
- Desconfía de la prisa. Los procesos normativos legítimos no recurren a relojes de cuenta atrás para forzar una acción inmediata.
- Comprueba la barra de direcciones. La página de inicio de sesión real de Google aparece en accounts.google.com en la barra de direcciones de tu navegador.
- Comprueba la ventana. Si la ventana de inicio de sesión no se puede arrastrar fuera del navegador o desaparece al minimizar este, probablemente sea falsa.
- Activa una protección de inicio de sesión más segura. Las claves de acceso y las llaves de seguridad físicas hacen que las contraseñas robadas resulten mucho menos útiles para los atacantes.
- Utiliza un programa de seguridad con protección contra el phishing y amenazas web. Nuestro Browser Guard, que también forma parte de Malwarebytes Premium , puede ayudarte a bloquear sitios web maliciosos y páginas de phishing antes de que introduzcas información confidencial.
No se trata de una página de phishing burda. Utiliza los datos reales de tu extensión, imita la imagen de marca de Google y crea una sensación de urgencia muy convincente.
Si recibes una advertencia sobre tu extensión, no hagas clic en el enlace y no te precipites antes de que termine la cuenta atrás. Ve directamente al panel de control para desarrolladores de la Chrome Store y comprueba allí la reclamación.
En caso de duda, cierra la pestaña.
Si ya has introducido tus datos
Actúa con rapidez.
- Cambia tu contraseña de Google inmediatamente desde un dispositivo de confianza.
- Cierra sesión en todas las sesiones activas en la configuración de seguridad de tu cuenta de Google.
- Revisa las aplicaciones y los dispositivos conectados para ver si hay alguno que no te resulte familiar.
- Activa la verificación en dos pasos, preferiblemente utilizando una clave de acceso o una llave de seguridad.
- Comprueba tus fichas de la Chrome Store para ver si hay cambios, archivos subidos o nuevas versiones que no hayas publicado.
Indicadores de compromiso (IOC)
Dominio
dmca-chrome-extensions[.]click
Detén las amenazas antes de que puedan causar ningún daño.
Malwarebytes Browser Guard automáticamente las páginas de phishing y los sitios maliciosos. Es gratis y se instala con un solo clic. Añádelo a tu navegador →
