/https://assets.iproup.com/assets/jpg/2022/03/26229.jpg)
Las tácticas empleadas por los ciberdelincuentes para ejecutar fraudes online se perfeccionan y multiplican constantemente. Una de las más recientes y preocupantes, se conoce como tabnabbing.
Esta variante de phishing se aprovecha de las pestañas inactivas del navegador para capturar datos sensibles, como contraseñas o información financiera.
La maniobra consiste en alterar el contenido de una pestaña que el usuario dejó en segundo plano. A través de código JavaScript, los atacantes modifican el sitio abierto para que simule ser una página de inicio de sesión legítima, como la de un servicio de correo electrónico o una red social.
El truco se concreta cuando la persona vuelve a esa pestaña y, sin notar el cambio, vuelve a ingresar sus credenciales, entregando sin querer sus datos a los atacantes.
Esta técnica de ciberestafa se despliega en diferentes fases:
Ingreso a un sitio comprometido: la víctima accede a una página web manipulada o no segura, luego continúa su navegación abriendo nuevas pestañas, mientras la original —la que contiene el código malicioso— queda abierta en segundo plano. Esto suele ocurrir tras hacer clic en enlaces dudosos o navegar en sitios poco confiables.
Alteración del contenido de la pestaña: aprovechando que la pestaña está inactiva, los atacantes reemplazan su contenido por una imitación visual de una página legítima, como la pantalla de inicio de sesión de una red social o servicio de correo electrónico.
Captura de datos personales: cuando el usuario vuelve a esa pestaña, se encuentra con un pedido para reingresar su usuario y contraseña, bajo pretextos como el vencimiento de la sesión o una verificación de seguridad. Al hacerlo, entrega su información directamente a los delincuentes.
Aunque el tabnabbing representa una estrategia sofisticada por parte de los ciberdelincuentes, existen diversas formas de reducir las probabilidades de ser víctima de este tipo de engaños.
Una de las recomendaciones clave es cerrar las pestañas que no se estén utilizando, ya que mantener abiertas páginas en segundo plano puede facilitar que sean modificadas sin que el usuario lo perciba.
También es fundamental prestar atención a la dirección web antes de introducir cualquier tipo de dato personal. Verificar que la URL coincida exactamente con la del sitio oficial ayuda a detectar posibles imitaciones.
Sumar mecanismos como la autenticación en dos pasos también ofrece una capa extra de seguridad: incluso si un atacante logra obtener las credenciales, necesitará un segundo elemento para ingresar a la cuenta.
Por último, es clave ser precavido con los enlaces que se reciben. Si al hacer clic se abre una pestaña que solicita un inicio de sesión inesperado, lo mejor es no avanzar y cerrar la página de inmediato.