Las extensiones de navegador empresariales son la superficie de ataque que nadie gestiona
La mayoría de los programas de seguridad empresarial pueden decirte exactamente qué laptops están inscritas en la gestión de dispositivos, qué aplicaciones SaaS tienen inicio de sesión único, y qué puertos USB están bloqueados. Pregunta al mismo equipo de seguridad cuántas extensiones de navegador hay instaladas en toda la empresa, y qué puede leer cada una, y la respuesta suele ser un encogimiento de hombros. Esa brecha es ahora una de las mayores superficies de ataque sin gestionar en una oficina típica.
El Informe de Seguridad de Extensiones de Navegador Empresarial 2026 de LayerX encontró que el 99% de los usuarios empresariales tiene al menos una extensión instalada, y aproximadamente una cuarta parte tiene más de diez. Las extensiones operan con permisos amplios por diseño — leer contenido de página, interceptar solicitudes de red, inyectar scripts — porque eso es lo que hace útil a un gestor de contraseñas o un corrector gramatical. Esos mismos permisos hacen que una extensión comprometida o maliciosa sea casi tan poderosa como un malware que ya está dentro de tu red.
Un ejemplo concreto de cómo sucede esto
En abril de 2026, investigadores de Socket identificaron un clúster coordinado de 108 extensiones maliciosas de Chrome que compartían infraestructura de comando y control, instaladas colectivamente unas 20.000 veces a través de la Chrome Web Store oficial. De esas, 54 extraían datos de identidad de cuentas de Google abusando de flujos OAuth, y 45 contenían funcionalidad de puerta trasera. Lo que hizo difícil detectar el clúster no fue un exploit exótico — fue que las extensiones usaban capacidades completamente legítimas de Chrome: permisos de host, scripts de contenido, y la API declarativeNetRequest pensada para bloqueadores de anuncios y herramientas de privacidad.
Por qué se disputa la magnitud del problema
Los datos propios de Google dicen que menos del 1% de las instalaciones de la Chrome Web Store en 2024 involucraron malware — una cifra que la empresa usa para argumentar que su proceso de revisión funciona. Investigadores académicos de Stanford y CISPA, estudiando el mismo ecosistema desde fuera, estimaron que 280 millones de personas instalaron una extensión de Chrome infectada con malware durante un período de tres años. Ambas cifras pueden ser ciertas simultáneamente.
Las extensiones de IA son un riesgo nuevo y de crecimiento más rápido
La novedad más reciente son las extensiones de navegador con IA — resumidores, asistentes de escritura, y herramientas tipo agente que leen el contenido de página para alimentar un modelo. El informe de LayerX encontró que estas extensiones tienen un 60% más de probabilidad de tener un CVE conocido que la población general de extensiones. La razón es estructural: una extensión de IA típicamente necesita acceso de lectura más amplio al contenido de página que una extensión utilitaria tradicional.
Cómo es la gobernanza real de extensiones
Las organizaciones que manejan esto bien no intentan prohibir las extensiones por completo. En cambio, el conjunto de controles prácticos es así: mantener una lista de permitidos aplicada mediante gestión de navegador empresarial; exigir que cualquier extensión que solicite acceso a todos los sitios pase por un paso de aprobación específico; monitorear extensiones que cambian sus permisos solicitados después de la instalación; y tratar las extensiones de IA como una categoría de revisión distinta con restricciones predeterminadas más estrictas.
Nada de esto requiere herramientas exóticas. La brecha es organizacional, no técnica: la mayoría de los equipos de TI construyeron una gobernanza madura de dispositivos y SaaS hace años y nunca extendieron la misma disciplina a lo que cada empleado usa decenas de veces al día.