El tabnabbing es una técnica de phishing avanzada que aprovecha la confianza del usuario cuando mantiene abiertas varias pestañas en su navegador. Aunque no es tan conocido como otros ciberataques, ya muy conocidos y perseguidos en nuestro día a día, representa un riesgo real de robo de credenciales, contraseñas y datos personales, especialmente en entornos de trabajo y empresas donde se utilizan muchas pestañas abiertas a la vez.
Cómo funciona el ataque
El método consiste en modificar en segundo plano el contenido de una pestaña abierta, generalmente inactiva, para suplantar una página legítima. El usuario cree que sigue en un sitio confiable como su correo electrónico, una red social o la web de su banco, pero en realidad la pestaña ha sido manipulada y redirigida a una falsa página de inicio de sesión.
La razón por la que las letras F, J y el número 5 del teclado tienen una rayita debajo
El tabnabbing aprovecha principalmente la gestión de pestañas del navegador. El usuario abre una página inofensiva y cuando esa pestaña queda inactiva o en segundo plano, el sistema de hackeo espera un tiempo y luego reemplaza el contenido por una página falsa que imita a la original. Al volver a la pestaña, el usuario encuentra lo que parece un sitio normal que solicita el inicio de sesión. Al introducir sus credenciales, la información es enviada al atacante, que ya puede acceder a la cuenta de la víctima. Este mecanismo hace que el tabnabbing sea un ataque sigiloso y especialmente difícil de detectar para el público general.
Esta estafa resulta especialmente peligrosa en páginas de uso diario que requieren inicio de sesión, como correos electrónicos, plataformas bancarias, comercios electrónicos, redes sociales o servicios en la nube. En el entorno laboral, un empleado que trabaje con varias pestañas abiertas también puede ser víctima sin darse cuenta, comprometiendo tanto sus datos personales como los de su empresa.
Protegerse del peligro
Existen varias medidas para reducir el riesgo. Una de ellas es mantener el navegador actualizado y asegurarse de que soporte las últimas funciones de seguridad. También conviene cerrar pestañas inactivas procedentes de sitios desconocidos y comprobar siempre la URL real antes de introducir credenciales, ya que aunque el diseño de la página sea prácticamente idéntico, la dirección web suele delatar que se trata de una web falsificada.