El peligro oculto en las extensiones de navegador: el caso de Adblock for YouTube
Una reciente investigación realizada por la firma de seguridad Island ha puesto bajo el foco a una de las extensiones más populares de la Chrome Web Store: «Adblock for YouTube». Con más de 10 millones de instalaciones y el distintivo de «Destacada» por Google, se ha descubierto que esta herramienta posee una capacidad latente para ejecutar código JavaScript arbitrario sin necesidad de actualizaciones ni revisiones adicionales.
¿Qué es la inyección de scripts latente?
El hallazgo técnico es especialmente preocupante para el entorno empresarial. Según los investigadores Oleg Zaytsev y Shachar Gritzman, la extensión contiene una arquitectura que permite la ejecución de JavaScript arbitrario en cualquier sitio web visitado por el usuario. Lo crítico de esta vulnerabilidad es que es «latente»: se activa mediante un simple cambio en la configuración del servidor del desarrollador.
Esto significa que el atacante podría:
- Leer el contenido de las páginas web visitadas.
- Extraer datos sensibles (credenciales, información financiera).
- Actuar en nombre del usuario dentro de cuentas personales, aplicaciones corporativas o paneles de administración.
Al no requerir una actualización de la extensión, el cambio evita el proceso de revisión de la Chrome Web Store, dejando a los sistemas de seguridad tradicionales sin señales visibles de compromiso.
Un falso sentido de seguridad y el bypass de URL
Aunque la extensión se promociona específicamente para YouTube, el análisis reveló que se ejecuta en todos los sitios web que el usuario visita. La herramienta incluye una verificación para activarse solo si la URL contiene la cadena «youtube.com». Sin embargo, esta validación es extremadamente débil.
Un atacante podría saltarse esta restricción simplemente añadiendo el parámetro a cualquier URL, por ejemplo: banca.ejemplo.com/login?q=youtube.com. En este escenario, la extensión se activaría y permitiría la inyección de código en una sesión de banca en línea o en una aplicación SaaS corporativa.
Contexto y riesgos para las organizaciones
La extensión cambió de propietarios en 2018 y, desde entonces, ha mostrado comportamientos sospechosos, incluyendo el uso previo de SDKs de inyección de anuncios. Además, otras extensiones relacionadas del mismo ecosistema ya han sido eliminadas de la tienda de Google por contener malware.
Para las empresas, este incidente subraya la importancia de gestionar las extensiones de navegador como cualquier otro software corporativo. El hecho de que una herramienta tenga millones de usuarios o una insignia de confianza no garantiza que su comportamiento futuro sea seguro, especialmente cuando los mecanismos de control pueden ser activados de forma remota y silenciosa.
Recomendaciones de Intedya
Desde el departamento de ciberseguridad de Intedya, recomendamos a los responsables de IT y seguridad de la información tomar las siguientes medidas:
- Auditoría de extensiones: Identificar si la extensión (ID: cmedhionkhpnakcndndgjdbohmhepckk) está instalada en los equipos de la organización.
- Políticas de Lista Blanca: Implementar políticas de grupo (GPO) para restringir la instalación de extensiones de navegador solo a aquellas estrictamente necesarias y validadas por el equipo de seguridad.
- Principio de Menor Privilegio: Revisar los permisos que solicitan las herramientas de productividad y evitar aquellas que requieran acceso total a los datos de navegación en todos los sitios web.
Fuentes
- The Hacker News — Chrome Ad Blocker with 10M+ Installs Found with Dormant Script Injection Capability
https://thehackernews.com/2026/06/chrome-ad-blocker-with-10m-installs.html