Se ha identificado una vulnerabilidad de seguridad que afecta a los plugins populares de gestión de contraseñas para navegadores web. Estos complementos pueden ser explotados mediante técnicas de clickjacking, lo cual podría permitir el robo de credenciales, códigos de autenticación de dos factores (2FA) y datos de tarjetas de crédito bajo ciertas condiciones.
Técnica denominada «clickjacking de extensiones basado en DOM»
El investigador de seguridad Marek Tóth describió esta técnica como «clickjacking de extensiones basado en el Modelo de Objetos de Documento (DOM)». Los hallazgos fueron presentados durante la conferencia DEFCON 33, donde se explicó cómo un solo clic en un sitio web controlado por un atacante podría permitirle acceder a datos sensibles de los usuarios.
«Un solo clic en cualquier lugar de un sitio web controlado por un atacante podría permitirle robar datos de los usuarios (datos de tarjetas de crédito, datos personales, credenciales de inicio de sesión, incluyendo TOTP)», afirmó Tóth. «La nueva técnica es general y puede aplicarse a otros tipos de extensiones».
Clickjacking: definición y funcionamiento
El clickjacking, también conocido como UI redressing, se refiere a un tipo de ataque en el que los usuarios son engañados para realizar acciones aparentemente inofensivas, como hacer clic en botones, sin darse cuenta de que están siguiendo instrucciones del atacante.
La técnica descrita por Tóth
Según el investigador, la nueva técnica consiste en usar un script malicioso para manipular elementos de la interfaz de usuario de una página web que las extensiones del navegador inyectan en el DOM. Estos elementos pueden hacerse invisibles al establecer su opacidad a cero.
Vulnerabilidades identificadas en gestores de contraseñas
La investigación se centró específicamente en 11 complementos populares para navegadores, entre ellos 1Password, iCloud Passwords y Bitwarden. Todos estos están susceptibles al secuestro de clics basado en extensiones del DOM.
En conjunto, estas extensiones cuentan con millones de usuarios. Para llevar a cabo el ataque, un atacante solo tiene que crear un sitio web falso con una ventana emergente intrusiva, como una pantalla de inicio de sesión o un banner de consentimiento de cookies, e integrar un formulario de inicio de sesión invisible.
Al hacer clic en el sitio para cerrar la ventana emergente, el administrador de contraseñas rellena automáticamente la información de las credenciales y la exfiltra a un servidor remoto. «Todos los administradores de contraseñas rellenaban las credenciales no solo del dominio principal, sino también de todos los subdominios», explicó Tóth.
Estado actual de las correcciones
Tras una divulgación responsable, seis de los proveedores aún no han publicado correcciones para el defecto:
- 1Password Password Manager 8.11.4.27
- Apple iCloud Passwords 3.1.25
- Bitwarden Password Manager 2025.7.0
- Enpass 6.11.6
- LastPass 4.146.3
- LogMeOnce 7.12.4
Socket, empresa de seguridad de la cadena de suministro de software, que revisó la investigación de forma independiente, afirmó que Bitwarden, Enpass e iCloud Passwords están trabajando activamente en correcciones, mientras que 1Password y LastPass las calificaron como informativas. También se ha puesto en contacto con US-CERT para asignar identificadores CVE a los problemas identificados.
Recomendaciones de seguridad
Hasta que haya correcciones disponibles, se recomienda a los usuarios desactivar la función de autocompletado en sus gestores de contraseñas y usar únicamente copiar y pegar.
«Para los usuarios de navegadores basados en Chromium, se recomienda configurar el acceso al sitio para que se abra al hacer clic en la configuración de la extensión», explicó Tóth. «Esta configuración permite a los usuarios controlar manualmente la función de autocompletar».
Por eso, usa gestores de contraseña que no suban datos o archivos la misma a la nube. Las contraseñas no se comparten… ¡con nada ni nadie!