Know Your Enemy: Browser-Based Attack Techniques in 2026
The Hacker News · 30 sept, 13:58
El artículo analiza seis técnicas de ataque basadas en navegadores que dominan el panorama de ciberataques en 2026: phishing de credenciales y sesiones mediante kits AiTM, copy-paste malicioso (ClickFix), abuso de mecanismos OAuth, extensiones de navegador comprometidas, credential stuffing y session hijacking. Los ataques evitan cada vez más el correo electrónico, superan la MFA tradicional y aprovechan la confianza en dominios legítimos.
Los kits de phishing modernos como Tycoon2FA y Evilginx funcionan como intermediarios (reverse-proxy AiTM) que interceptan credenciales y tokens de sesión en tiempo real, disponibles como Phishing-as-a-Service con protección anti-bot y generación automática de señuelos. Aproximadamente el 50% de los ataques de phishing se entregan fuera del correo electrónico mediante mensajería instantánea, redes sociales, SMS y publicidad maliciosa, con dominios activos menos de dos días, invalidando las listas negras.
ClickFix se convirtió en el vector de acceso inicial más común en 2026, representando el 52% de las detecciones en Q2, donde usuarios son engañados para copiar y ejecutar comandos maliciosos bajo pretexto de resolver un CAPTCHA o desafío de verificación. El 80% de los payloads interceptados provienen de motores de búsqueda mediante sitios comprometidos, malvertising y envenenamiento SEO. Variantes emergentes como InstallFix falsifican páginas de instalación de herramientas para desarrolladores (Claude Code, NotebookLM) y LLMShare aprovecha conversaciones compartidas en plataformas de chat para distribuir malware desde dominios de confianza.
Los ataques de autorización explotan OAuth sin tocar el flujo de autenticación, haciendo irrelevantes la MFA e incluso passkeys resistentes a phishing. El 46,76% de extensiones de navegador tienen permisos suficientes para suplantación de cuenta sin interacción del usuario, mientras que más del 15% de usuarios corporativos ejecutan extensiones de IA no autorizadas que crean caminos de exfiltración independientes del control DLP tradicional.
Puntos clave
- Phishing mediante kits AiTM (Tycoon2FA, Evilginx, Sneaky2FA) intercepción de sesiones en tiempo real, evitando MFA
- ClickFix domina como vector de acceso inicial (52% en Q2 2026), con 80% distribuido vía búsqueda orgánica y malvertising
- Ataques de autorización OAuth (ConsentFix, device code phishing) eliminan relevancia de MFA y passkeys
- 46,76% de extensiones tienen permisos para suplantación; 15%+ de extensiones IA no autorizadas en empresas
- 1 de cada 4 logins son basados en contraseña fuera de SSO, con 63% de credenciales ya comprometidas