Las extensiones maliciosas de Chrome modifican sobre todo tu nivel de riesgo: acceso a las páginas visitadas, a los datos introducidos, a las herramientas SaaS y, en ocasiones, a los sistemas de mensajería internos. Para una pyme, la auditoría consiste en hacer un listado de las extensiones instaladas, revisar sus permisos, bloquear las que resulten sospechosas y, a continuación, definir una política de instalación. Con Chrome Enterprise, este control se puede llevar a cabo desde la consola de Google, pero requiere un mínimo de configuración.
Extensiones maliciosas de Chrome: el riesgo real para una pyme
Una extensión de Chrome es un pequeño módulo que se añade al navegador para ahorrar tiempo: gestión de contraseñas, captura de pantalla, correcteur, traducción, herramienta de SEO, conector CRM. El problema radica en sus permisos, es decir, los derechos que solicita para funcionar. Algunas pueden leer y modificar los datos de los sitios web visitados, acceder al historial o interactuar con páginas sensibles.
El peligro no radica únicamente en las extensiones claramente fraudulentas. Una extensión útil puede ser adquirida por terceros, abandonada, verse comprometida tras una actualización o solicitar más permisos de los necesarios. Para una empresa, esto se traduce en tres riesgos claros: fuga de datos, compromiso de cuentas e incumplimiento del RGPD si se recopilan datos personales sin base legal.
Google indicó en 2024 que Chrome puede eliminar de Chrome Web Store una extensión que presente un riesgo grave y desactivarla en los navegadores en los que esté instalada. Es tranquilizador, pero insuficiente para gestionar una empresa. Entre el momento en que una extensión se convierte en un riesgo y el momento en que se detecta, es posible que tus empleados ya la estén utilizando en herramientas de trabajo.
La trampa clásica: creer que «instalado desde Chrome Web Store» significa «sin riesgo». El Web Store reduce los riesgos, pero no sustituye a una política interna. Sinceramente, una pyme que utilice Google Workspace, Microsoft 365, un CRM y varias herramientas SaaS debería tratar el navegador como un puesto de trabajo en toda regla.
Lo que realmente permite la consola de administración de Google
Para las empresas que gestionan Chrome a través de Chrome Enterprise o la Consola de administración de Google, Google ofrece en 2026 un informe específico: Dispositivos > Chrome > Informes > Uso de aplicaciones y extensiones. Permite ver las aplicaciones y extensiones de Chrome instaladas en los navegadores Chrome registrados y en los dispositivos Chrome OS. El informe debe estar activado, y los datos pueden tardar hasta 24 horas en aparecer.
Esta lista recoge información útil para tomar una decisión, no solo para inventar: nombre de la extensión, tipo, modo de instalación, permisos, versión, estado en Chrome Web Store y evaluación de riesgos para las extensiones públicas. También puede señalar las extensiones retiradas de la Chrome Web Store en los últimos 28 días o afectadas por la obsolescencia de Manifest V2, el antiguo modelo técnico de extensiones que está siendo sustituido progresivamente por Manifest V3.
Otro aspecto práctico: el archivo CSV de export. Para una auditoría rigurosa, suele ser más eficaz que una lectura pantalla por pantalla. Puedes ordenar los datos por permiso, por número de usuarios, por estado Web Store o por modo de instalación, y luego decidir qué hay que bloquear, conservar o analizar.
Google también indica que un administrador puede bloquear o forcer la instalación de una extensión directamente desde este rapport. La política «Chrome Enterprise ExtensionSettings» va más allá: permite definir el modo de instalación, los criterios de autorización o bloqueo, las URL de actualización, los permisos y los hosts de ejecución, es decir, los sitios web en los que la extensión está autorizada a actuar.
Un método de auditoría en seis pasos, fácil de entender para la dirección
Una buena auditoría no empieza por bloquearlo todo. Sería rápido, pero a menudo resulta contraproducente: se interrumpen usos legítimos y, a continuación, los equipos eluden la norma. El enfoque adecuado consiste en evaluar el riesgo de forma objetiva y decidir extensión por extensión, siguiendo un esquema estable.
- Activar la función de repetición en Chrome en los navegadores registrados y, a continuación, esperar a que se carguen todos los datos, lo que puede tardar hasta 24 horas según la documentación de Google de 2026.
- Exporter el informeort CSV Uso de aplicaciones y extensiones desde la Consola de administración de Google para elaborar un inventario útil.
- Clasificar las extensiones por exposición : número de usuarios, acceso a los datos de navegación, lectura/modificación de sitios web, estado de Chrome Web Store, versión y score de riesgo disponible.
- Identificar las extensiones hors Web Store gracias a los eventos de Chrome, en particular la señal «Off-store extensions», que rastrea los nombres de los archivos y las huellas hash (firmas digitales) de las extensiones que no proceden de la Web Store.
- Decidir qué medida tomar : activar, bloquear, desactivar la instalación, limitarla a determinados grupos o solicitar una alternativa menos intrusiva.
- Documentar la norma para evitar que la auditoría quede en el olvido: responsable del ámbito de negocio, finalidad de uso, permisos aceptados, fecha de revisión.
En los proyectos que llevamos a cabo, a menudo observamos una confusión entre «herramienta práctica» y «herramienta aceptable en el ámbito empresarial». Un corrector gramatical que lee todos los campos de un formulario, por ejemplo, no supone el mismo nivel de riesgo para un departamento de comunicación que para un equipo de RR. HH. que maneja datos de candidatos.
Por lo tanto, la pregunta relevante no es «¿se conoce esta extensión?», sino «¿necesita estos permisos para ofrecer el servicio esperado?». Si la respuesta no está clara, con este presupuesto, es mejor prescindir de una función secundaria que crear una entrada permanente en el navegador.
Costes, plazos y decisiones realistas en Francia
El coste depende menos del número de empleados que del nivel de control existente: navegadores ya configurados, directorio propio, puestos homogéneos, presencia de un proveedor de servicios informáticos. Para una pyme de entre 30 y 150 usuarios, una primera auditoría de las extensiones de Chrome suele rondar entre los 1 500 y los 5 000 € sin IVA, dependiendo de los proveedores, hors corrección exhaustiva. Una intervención más completa, que incluya reglas de grupo, documentación, talleres específicos y seguimiento, puede superar los 8 000 € sin IVA.
Los plazos son bastante cortos si el entorno ya está gestionado. Calcula una semana para recopilar, analizar y tomar decisiones sobre un parque de dispositivos sencillo. Por el contrario, hay que prever entre dos y cuatro semanas si los puestos de trabajo no están registrados, si varias filiales utilizan prácticas diferentes o si la empresa tiene que aclarar sus usos de SaaS.
| Guión | Plazo indicativo | Presupuesto de mercado en Francia | Decisión típica |
|---|---|---|---|
| PYME ya en la Consola de administración de Google, Chrome registrado | 3 a 7 días laborables | Entre 1 500 y 3 500 €, sin IVA | Auditoría CSV, bloqueo de extensiones de riesgo, lista automatizada |
| Entorno mixto Windows/macOS, hay que activar reporting | 1 a 3 semanas | Entre 3.000 y 6.000 € sin IVA | Inscripción, recopilación, políticas de ExtensionSettings |
| Organización con múltiples sedes y actividades empresariales sensibles | 3 a 6 semanas | Entre 6 000 y 12 000 € sin IVA | Gobernanza, áreas de negocio, validación jurídica/RGPD |
| Auditoría puntual tras la sospecha de un incidente | De 2 a 10 días laborables | 2 000 à 8 000 € HT | Gel, export, análisis de permisos y extensiones hors store |
La relación coste-beneficio es clara: una auditoría puntual reduce la exposición inmediata, pero el verdadero ahorro proviene de una norma duradera. Si cada colaborador puede instalar libremente una extensión de IA, de cupones o de productividad, el problema volverá a surgir en pocos meses.
Para las organizaciones que también desarrollan herramientas web internas, este tema está relacionado con la seguridad de las aplicaciones. Una intranet bien protegida a nivel del servidor puede, aun así, exponer datos si el navegador del usuario ejecuta una extensión demasiado permisiva. Las mismas disyuntivas se plantean a la hora de elegir una arquitectura web moderna, por ejemplo, entre rendimiento, facilidad de mantenimiento y seguridad en un proyecto Astro o Next.js.
Las señales débiles a las que hay que prestar atención antes de que se produzca un bloqueo
No todo se aprecia solo por el nombre de la extensión. Algunas extensiones maliciosas de Chrome pueden presentarse como herramientas comunes: PDF, captura de pantalla, traducción, ayuda para redactar, modificación de encabezados HTTP o automatización de formularios. Los incidentes muy recientes a veces son documentados por los medios de comunicación o por informes independientes antes de ser confirmados por fuentes primarias, lo que obliga a actuar con cautela a la hora de interpretarlos.
Las fuentes disponibles en 2026 muestran, sobre todo, que Google cuenta con los medios de gestión: informes de uso, evaluaciones de riesgo a través de socios como Spin.AI y CRX, anunciadas en Chrome Enterprise en 2023, y umbrales de riesgo anunciados con Spin.AI y LayerX para bloquear automáticamente determinadas extensiones. Esto no exime de tomar una decisión empresarial, pero ofrece una base más sólida que una búsqueda manual en la Web.
En Windows, la documentación de Google Chrome sobre el reporting menciona la extensión de Chrome para el reporting con el ID web Store «emahakmocgideepebncgnmlmliepgpgb» y un almacenamiento local en %LOCALAPPDATA%GoogleChromeReporting. Este nivel de detalle interesa sobre todo a tu director de sistemas de información o a tu proveedor de servicios, pero nos recuerda una cosa: sin telemetría, vas a ciegas.
Otra señal que hay que tratar rápidamente: las extensiones instaladas en Chrome Web Store. No son necesariamente maliciosas, ya que algunas empresas implementan módulos internos. Sin embargo, al carecer de inventario, firma y propietario identificado, es recomendable someterlas a cuarentena o a una validación minuciosa.
Aplicar una política sostenible sin obstaculizar el trabajo
La política más sensata es una lista razonada de autorizaciones, no una prohibición total y drástica de todo. Los equipos deben poder solicitar una extensión, explicar su uso y obtener una respuesta rápida. De hecho, Google documenta un workflow para solicitar ampliaciones y aclara que los administradores pueden obtener la lista actualizada a través de los informes de uso de la Consola de administración o de scripts basados en la API de Chrome Browser Takeout.
Por parte de la agencia, lo habitual es distinguir tres categorías: extensiones imprescindibles y validadas, extensiones toleradas para determinados grupos y extensiones prohibidas. Esta clasificación resulta comprensible para los distintos departamentos. Además, evita que la seguridad se perciba como una decisión abstracta procedente del departamento de TI.
La misma lógica se aplica a los proyectos digitales que se presentan a los usuarios. Cuando eliges entre aplicación móvil o página web, o cuando evalúas una PWA para una pyme, el navegador se convierte a veces en el entorno de trabajo principal. Por lo tanto, las extensiones que se ejecutan en él pueden influir en la privacidad, el rendimiento y la compatibilidad.
Piensa también en la formación. A menudo basta con una breve nota interna: no instalar extensiones sin autorización, desconfiar de los permisos del tipo «leer y modificar todos tus datos en todos los sitios web» y notificar cualquier extensión que desaparezca o cambie de comportamiento. Para los equipos de marketing, SEO o soporte técnico, que hacen un uso intensivo de las herramientas del navegador, el recordatorio debe ser concreto. Se inscribe en un marco de gobernanza web más amplio, al igual que las decisiones de posicionamiento descritas en una estrategia. SEO local o nacional.
Definir este tipo de temas desde el principio evita la mayoría de las sorpresas desagradables: inventario incompleto, ámbito de aplicación demasiado amplio, excepciones que nunca se revisan, responsabilidades poco claras. Una perspectiva externa ayuda, sobre todo, a transformar una auditoría técnica en normas comprensibles para los equipos y sostenibles a largo plazo.
Preguntas frecuentes sobre las extensiones maliciosas de Chrome
¿Cómo saber si una extensión de Chrome es maliciosa?
Hay que comprobar sus permisos, su estado en Chrome Web Store, su desarrollador, su distribución, sus actualizaciones y las alertas disponibles en Chrome Enterprise. Una extensión muy conocida puede llegar a ser peligrosa si cambia de propietario o, de repente, solicita más permisos.
¿Se pueden bloquear todas las extensiones de Chrome en una empresa?
Sí, a través de las políticas de Chrome Enterprise, pero no siempre es la mejor opción. Una lista de autorizaciones con solicitud de validación evita bloquear usos útiles y, al mismo tiempo, reduce eficazmente el riesgo.
¿Es suficiente la Consola de administración de Google para auditar las extensiones instaladas?
Para un parque de dispositivos Chrome inscritos, es una base muy buena: inventario, permisos, versión, estado Web Store, export CSV y acciones de bloqueo. No obstante, hay que complementarla con un análisis de negocio y una política de seguimiento.
¿Cuánto tiempo se tarda en auditar las extensiones de Chrome de una pyme?
Si Chrome ya está gestionado, una primera auditoría suele durar menos de una semana. Si hay que implementar el reporting o si el parque informático es heterogéneo, es mejor prever entre dos y cuatro semanas.