Cómo auditar las extensiones de Chrome por riesgo de seguridad
Las extensiones del navegador están en un punto ciego: se ejecutan dentro de tus sesiones autenticadas, a menudo pueden leer y modificar cada página que visitas y se actualizan solas en silencio; sin embargo, la mayoría de las organizaciones no tiene un inventario de lo que han instalado sus empleados. Esa combinación de acceso amplio y cambios silenciosos convierte las extensiones en una superficie de ataque real, y una auditoría periódica es la forma de mantenerla bajo control.
El modelo de riesgo
Una extensión con el permiso de «leer y cambiar todos tus datos en todos los sitios web» puede ver y manipular cualquier cosa de tu navegador, incluidos los datos de las aplicaciones en las que has iniciado sesión. Como las extensiones se actualizan solas, una extensión segura puede volverse maliciosa tras una actualización o después de que su desarrollador la venda: un patrón de cadena de suministro que se ha visto repetidamente. Acceso amplio + cambios silenciosos = el riesgo de fondo.
El proceso de auditoría
- Inventario. Enumera las extensiones instaladas en toda la flota mediante la gestión del navegador o las herramientas de endpoint: no puedes gestionar lo que no ves.
- Revisa los permisos frente a la finalidad. En cada extensión, compara los permisos que pide con lo que de verdad necesita su función. Una calculadora que quiere leer todos los sitios web es una señal de alarma.
- Comprueba la reputación y las actualizaciones. La reputación del editor, la base de usuarios y el historial de actualizaciones y de propietarios: las extensiones que han cambiado de manos merecen un examen detenido.
- Señala y decide. Permisos excesivos, mala reputación o propiedad poco clara → bloquear o revisar.
Impón una política a escala
Usa la gestión empresarial del navegador (las políticas de Chrome) para permitir las extensiones aprobadas, bloquear el resto, impedir las instalaciones silenciosas y controlar los permisos; después, vuelve a auditar periódicamente para detectar las extensiones que se han vuelto arriesgadas tras una actualización.
Analiza una extensión concreta con el Extension Scanner →.
Preguntas frecuentes
¿Por qué son arriesgadas las extensiones? Por su acceso amplio a tus sesiones más las actualizaciones automáticas silenciosas: una extensión segura puede volverse maliciosa tras una actualización o una venta.
¿Cómo las audito? Inventaría la flota, revisa los permisos frente a la finalidad, comprueba la reputación y las actualizaciones, y señala y decide.
¿Qué permisos preocupan? «Leer y cambiar todos los datos en todos los sitios», el historial, las cookies o la gestión de otras extensiones, cuando superan la finalidad.
¿Control a escala? Políticas empresariales del navegador: lista de permitidas, bloqueo, impedir las instalaciones silenciosas y volver a auditar.
Preguntas frecuentes
¿Por qué las extensiones del navegador son un riesgo de seguridad?
Por el acceso que tienen. Muchas extensiones piden permiso para leer y modificar el contenido de todos los sitios web que visitas, lo que significa que operan dentro de tus sesiones autenticadas y pueden ver o alterar datos sensibles. Además, las extensiones se actualizan solas, así que una que hoy es segura puede volverse maliciosa tras una actualización o después de que su desarrollador la venda: un patrón de cadena de suministro bien documentado. Esa combinación de acceso amplio y cambios silenciosos es lo que las hace arriesgadas.
¿Cómo audito las extensiones de Chrome en toda mi organización?
Inventaría lo que está instalado en la flota (mediante la gestión del navegador o las herramientas de endpoint), revisa los permisos que pide cada extensión frente a lo que de verdad necesita su función, comprueba la reputación del editor y el historial de actualizaciones y señala las extensiones con permisos excesivos, mala reputación o propiedad poco clara. Después impón una política: permite las extensiones aprobadas, bloquea las arriesgadas y exige revisión para las nuevas.
¿Qué permisos deberían preocuparme?
Los permisos amplios como «leer y cambiar todos tus datos en todos los sitios web», el acceso al historial de navegación o a las cookies, o la capacidad de gestionar otras extensiones merecen un examen detenido, sobre todo cuando superan lo que necesita la función declarada de la extensión. Una extensión de calculadora que quiere leer todos los sitios web es una señal de alarma. La prueba es siempre permisos frente a finalidad.
¿Cómo controlo las extensiones a escala?
Usa la gestión empresarial del navegador (como las políticas de Chrome) para imponer una lista de extensiones aprobadas y bloquear el resto, impedir la instalación silenciosa de las no aprobadas y controlar qué permisos se admiten. Combínalo con una auditoría periódica para que la lista de permitidas siga al día y se detecten las extensiones que se han vuelto arriesgadas (tras actualizaciones o cambios de propietario).