737 extensiones VPN falsas pasaron el control de Chrome: publicarlas costó 26 centavos cada una y 516 seguían activas

El equipo de investigación de amenazas de Socket encontró 737 extensiones VPN falsas publicadas en la Chrome Web Store desde al menos 40 cuentas de desarrollador, en una campaña que apuntaba en un 94% a usuarios de habla rusa. Casi todas hacen lo mismo: de los 522 paquetes cuyo código se pudo analizar, 520 mandan el navegador entero a un servidor proxy que controla otra persona apenas el usuario aprieta «Conectar». Cuando se cerró el conteo del informe, 516 seguían disponibles para instalar.

No es una filtración ni un rumor: el informe se publicó el 11 de agosto de 2026, trae el código de 525 paquetes analizados, los 516 identificadores que seguían activos y la infraestructura detrás. Y trae algo más incómodo que el hallazgo en sí, que es lo que costaron las cuentas para publicarlas: 26 centavos de dólar por extensión.

• Qué encontraron en las 737 extensiones VPN falsas
• Un permiso que suena chiquito y se lleva el navegador entero
• Los servidores premium que nunca existieron
• Cómo pasaron el control de la tienda
• La cuenta que explica por qué siempre vuelven
• A quiénes apuntaba esta campaña
• ¿Y esto qué significa para vos?
• Preguntas frecuentes

Qué encontraron en las 737 extensiones VPN falsas

El informe lo firma Kush Pandya, del equipo de Threat Research de Socket, y la metodología está declarada. El conjunto de origen son 734 extensiones publicadas desde 38 cuentas; las otras 3, desde 2 cuentas más, aparecieron después rastreando la tienda. De todas ellas consiguieron el código de 525 —522 en bloque, más esas 3—, y 522 es el denominador de toda cifra de código que sigue. Las otras 212 ya habían sido eliminadas antes de la recolección y solo se conocen por su ficha.

De esos 522 paquetes con código a la vista, 520 configuran un proxy. Y los 520 configuran el mismo: un servidor SOCKS5 en el puerto 1082.

Las 66 marcas imitadas son las que cualquiera reconoce: Proton VPN, NordVPN, Surfshark, AdGuard VPN, ExpressVPN, CyberGhost, Windscribe, TunnelBear, el 1.1.1.1 de Cloudflare y hasta Outline, que es de Google. Y una de las extensiones llegó al extremo de inventarse un aval: afirma en su descripción que la recomienda Yuriy Dud, un periodista ruso que —según verificó Socket— no tiene ninguna relación con el asunto.

Un permiso que suena chiquito y se lleva el navegador entero

Cuando una extensión de Chrome quiere redirigir tráfico usa una API que se llama chrome.proxy. Las 520 extensiones la configuran en modo fixed_servers, apuntando a un SOCKS5 propio, con una lista de excepciones que contiene únicamente direcciones de loopback —localhost y 127.0.0.1—. Traducido: apenas el usuario conecta, todo lo demás sale por el relay del operador. No hay separación por sitio ni túnel dividido.

Y el permiso que hace falta pedir para eso es uno solo. 497 de las 522 extensiones piden proxy y nada más. En la pantalla de instalación no aparece nada alarmante, porque técnicamente la extensión no lee tus pestañas ni tu historial: no le hace falta. Lo que queda en posición de ver todo es el servidor del otro lado.

Según el informe, esa posición le permite al operador observar los destinos que alcanza el navegador, el valor TLS SNI de cada conexión HTTPS, la dirección IP de origen del usuario y el contenido completo de cualquier pedido que viaje por HTTP sin cifrar, credenciales incluidas. Vale aclarar que el SOCKS5 tal como está configurado no agrega cifrado propio: es un relay pelado.

Ahora, el matiz que el propio informe se encarga de marcar, y que es la parte más honesta del trabajo:

«A nivel del mecanismo, no. Una VPN con alcance de navegador tiene una sola API disponible, chrome.proxy, y una configuración de servidor fijo SOCKS5 con una lista de excepciones de solo loopback es la manera común de implementarla. Cualquier extensión que haga de proxy con el tráfico del navegador necesariamente deja a su operador en posición de observar ese tráfico. Un proveedor que construyera una herramienta genuina de elusión de la censura para usuarios rusos produciría algo muy parecido al código de arriba. El proxy es la capacidad, no el hallazgo.»

Kush Pandya, Threat Research de Socket — respondiendo a su propia pregunta «¿un servicio legítimo se vería distinto?», vía el informe

Lo que separa a esta campaña de un servicio genuino no es el proxy, es todo lo que lo rodea. Socket además deja escrito que solo observó el lado del cliente y que no afirma nada sobre qué hacen esos servidores con el tráfico: eso no se ve desde el código de la extensión, y el informe no lo inventa.

Los servidores premium que nunca existieron

Si el proxy es la parte ambigua, el negocio pago es la parte que no admite discusión. Cada extensión ofrece ubicaciones «premium» en Japón, Singapur, Canadá, Australia y Turquía. Socket probó los 200 subdominios correspondientes a esos cinco países en los 40 dominios que puso a prueba. Ninguno devolvió un registro A. No es que anduvieran lento: no existen. Y son exactamente las entradas marcadas como premium: true dentro del código.

El candado tampoco cierra. En un grupo de 88 paquetes, la verificación de la licencia se limita a preguntar si la clave es un texto con al menos un carácter —devuelve verdadero con cualquier cosa que escribas—, y como ningún código de ese grupo guarda nunca esa clave, el candado no se puede destrabar ni pagando.

Hay un caso que se lleva el premio. Una extensión publicada como «Burёnka VPN» anuncia servidores en siete países, pero su lista interna tiene 15 entradas apuntando a 0.0.0.0 —una dirección que no lleva a ningún lado— bajo un comentario del propio autor: «ubicaciones ficticias extra (cerradas)». Y su manejador de conexión está escrito para fallar siempre, sin importar qué servidor elija el usuario. Trae la interfaz completa, animación de «conectando» incluida, encima de un motor que no puede funcionar.

Cómo pasaron el control de la tienda

Esta es la parte que explica por qué 737 extensiones con el mismo comportamiento no chocaron contra el filtro de la Chrome Web Store.

Primero, esconden a dónde se conectan. 104 extensiones declaran permiso para hablar con cloudflare-dns.com y dns.google, resuelven ahí el nombre de su propio servidor y le entregan a Chrome la dirección IP ya resuelta, no el dominio. Resultado: la máquina del usuario nunca emite una consulta DNS en claro con el dominio del operador. Y no es un efecto colateral: una de las extensiones se olvidó adentro del paquete publicado un manual interno de la organización, titulado —sin ironía— «Prompt para empleados», con esta regla:

«No poner el dominio directamente en chrome.proxy.settings — solo la IP después de resolver. No usar el dominio de otra extensión sin indicación aparte.»

Manual interno de la operación, encontrado dentro de una extensión publicada — traducido del ruso en el informe de Socket

La segunda instrucción es la más reveladora: cada extensión usa dominios propios, así que dar de baja uno no alcanza para tocar a las demás.

Segundo, cambian el código después de la aprobación. Una extensión mandó por error, dentro de su propio paquete publicado, un archivo comprimido con su versión anterior: literalmente el artefacto que Google revisó. Al compararlo con la versión que estaba en línea, aparece que toda la capa de configuración remota —la que le permite al operador mover destinos sin publicar una actualización— se agregó después de pasar la revisión. El detalle que lo vuelve difícil de detectar: el conjunto de permisos quedó igual, así que comparar permisos entre lo revisado y lo entregado no muestra ninguna diferencia. En total, 49 extensiones de 18 cuentas recibieron cambios post-aprobación, cubriendo 8.076 instalaciones; 31 seguían activas.

Tercero, le mienten al revisor por escrito. Diez extensiones enviaron el documento de justificación de privacidad que pide la tienda, y nueve son idénticos byte por byte en nueve cuentas distintas. El texto afirma que no se recolectan datos personales, que no se transmiten datos a servidores externos, que no hay seguimiento ni registro y que la extensión no usa código remoto. Las cuatro conviven con un paquete cuya única función es enviar tráfico a un servidor externo.

La cuenta que explica por qué siempre vuelven

Google actuó: de las 737, 221 ya fueron eliminadas de la tienda. Y sin embargo el informe describe el problema como un agujero de aplicación, no como un caso resuelto. El motivo es aritmético.

Una cuenta de desarrollador de la Chrome Web Store cuesta US$ 5. Las 38 cuentas del conjunto original costaron US$ 190, y el informe reparte ese total entre las 737 extensiones de la campaña: da US$ 0,258 por extensión y US$ 0,00326 por cada instalación que sobrevivió.

Con esos números, que te borren extensiones no es una pérdida: es un costo operativo. Y los datos de comportamiento lo confirman. Una cuenta publica en promedio 9,1 extensiones antes de su primera baja, y después sigue publicando un promedio de 15,8 más a lo largo de 69 días. De las 29 cuentas centrales, 28 continuaron publicando después de su primera eliminación. De las 30 cuentas que sufrieron alguna baja, 29 todavía conservan extensiones activas.

Ese último renglón sale de un método que vale la pena nombrar: Socket normalizó el código de las extensiones activas —borrando comentarios, textos, números y espacios, para que la marca no afecte la comparación— y encontró 93 esqueletos distintos. El más poblado agrupa 51 extensiones en 8 cuentas, y las 50 que sobrevivieron son estructuralmente idénticas a la única que Google dio de baja.

Entre esas 50 hay una llamada «1.1.1.1 VPN», que copia la marca del servicio de Cloudflare. En Tu Código Digital abrimos su ficha en la tienda para verificarlo de primera mano: el 12 de agosto seguía publicada, con 1.000 usuarios, un promedio de 5,0 sobre 8 valoraciones, catalogada bajo «Accesibilidad», con la descripción en ruso y su política de privacidad alojada en una página de Telegram. La tienda no le muestra ninguna advertencia a quien la vaya a instalar.

También seguía publicada la extensión que se olvidó el manual adentro, y el detalle vale por sí solo: se llama «Amnezia VPN», o sea que suplanta a AmneziaVPN, una de las dos herramientas que —según el propio informe— ese público usa para saltear el bloqueo. Figuraba con 104 usuarios y 38 valoraciones.

Y falta la pieza que cambia cómo se lee todo lo anterior: del otro lado no hay un anónimo. Socket rastreó la infraestructura hasta un negocio de VPN por suscripción que opera en Rusia, con un panel de facturación en Telegram que vende un plan llamado EXTENSION, desde 99 rublos por mes, descrito como «VPN solo en el navegador». La conclusión del informe es textual: el parque de extensiones es el embudo de captación de clientes de ese negocio. Y el detalle más elocuente de todos: el plan pago se anuncia sobre un protocolo pensado para sobrevivir la inspección profunda de paquetes, mientras la granja gratuita reparte el relay en texto plano. Dos aclaraciones del propio informe: no intentó ponerle nombre al contribuyente que figura en la oferta pública, y no compró la suscripción, así que el funcionamiento del plan pago queda sin verificar.

A quiénes apuntaba esta campaña

Acá hay que ser preciso, porque el titular puede llevar a una conclusión equivocada. Esta campaña no apuntaba a Latinoamérica.

El informe es explícito: el 94% de la campaña apunta a usuarios de habla rusa, y el anzuelo es el acceso a servicios bloqueados dentro de Rusia —Instagram, ChatGPT y YouTube—. De las 734 extensiones del conjunto original, 690 son identificables como dirigidas a ese público por el idioma de la ficha, la descripción del manifiesto o el nombre de un servicio bloqueado. Dos de las marcas imitadas, AmneziaVPN y AntiZapret, son justamente las herramientas que ese público usa para saltear el bloqueo.

Un detalle de color: la marca detrás de todo es «Муха», «mosca» en ruso, que escrita con caracteres latinos parecidos queda myxa. De ahí sale una familia de dominios con criterio entomológico firme: mosquito, escarabajo, cucaracha, araña, avispa y oruga. El informe también aclara algo que conviene no exagerar: no encontró ningún indicio de patrocinio estatal, y describe las obligaciones legales del proveedor como cumplimiento normativo, no como una conexión con el Estado.

Entonces, ¿por qué le importa a un lector de acá? Por tres razones concretas. La tienda es la misma. Las marcas copiadas son las mismas que usamos en esta región. Y el método —abrir cuentas a US$ 5, publicar en volumen, pedir un permiso que parece inofensivo y cambiar el código después de la revisión— no tiene nada de específicamente ruso.

¿Y esto qué significa para vos?

Lo primero, la tranquilidad: si no instalaste una extensión VPN gratuita con la descripción en ruso, es muy poco probable que estés en esta lista puntual. Lo segundo, la parte útil, que sirve igual.

Revisá si te quedó un proxy activo. Abrí la configuración de Chrome y buscá «proxy»: si alguna vez instalaste una VPN gratuita y la borraste sin más, confirmá que la configuración volvió a la normalidad. Es un chequeo de treinta segundos. Y si usaste una de estas, desinstalarla no cierra el tema: el informe recomienda además cambiar las contraseñas que hayas puesto en sitios sin HTTPS mientras estuvo conectada, y asumir que la navegación de ese período fue observada por un tercero.

Y el criterio que queda para la próxima. Como marca el propio informe, el mecanismo de una VPN de navegador legítima es idéntico: el operador siempre queda en posición de ver el tráfico. Lo que cambia es quién es ese operador y si responde con su nombre. Una VPN gratuita en el navegador no es gratis: la pagás con la visibilidad completa de por dónde navegás. Si el objetivo es no dejarle esos datos a un tercero que no elegiste, el camino es un servicio con una empresa identificable detrás —AdGuard VPN, una de las marcas que esta campaña copió, es de las que se consiguen con licencia—. Y ojo con el reflejo de siempre: acá un antivirus no es la herramienta, porque estas extensiones no llegan como un archivo infectado sino como una descarga aprobada por la tienda.

Es, además, el reverso exacto del caso que cubrimos esta mañana: en la campaña del CCleaner falso que instala un espía dentro de Chrome el malware evita la tienda y le parchea la configuración a una extensión ya instalada; acá entran por la puerta principal, con revisión de por medio. Las dos juntas dicen lo mismo desde los dos lados: que algo esté en la tienda oficial no alcanza como garantía. Para el contexto de por qué el ecosistema viene moviéndose tanto, ahí está el cronograma con el que Edge le puso fecha al fin de Manifest V2.

Preguntas frecuentes sobre las extensiones VPN de Chrome

¿Cómo sé si tengo una de estas extensiones instaladas?

Revisá tus extensiones y prestá atención a las de VPN o proxy gratuitas, sobre todo si la descripción está en ruso. Después abrí la configuración de Chrome, buscá «proxy» y confirmá que no quedó ninguna configuración aplicada. El informe de Socket publica los 516 identificadores que seguían activos al cierre.

¿Alcanza con desinstalar la extensión?

No del todo. Además de sacarla, hay que verificar que la configuración de proxy del navegador volvió a su estado normal, cambiar las contraseñas ingresadas en sitios sin HTTPS mientras estuvo conectada y asumir que la navegación de ese período pudo ser observada por un tercero.

¿Todas las VPN de navegador son peligrosas?

No, pero todas comparten el mismo mecanismo: enrutan el tráfico y por lo tanto su operador queda en posición de verlo. La diferencia está en quién opera el servicio y qué se sabe de esa empresa. El informe es claro en que el proxy es la capacidad, no el hallazgo: lo que incrimina a esta campaña es todo lo que lo rodea.

¿Google ya sacó de la tienda todas las extensiones de esta campaña?

No. Al cierre del informe, 221 de las 737 habían sido eliminadas y 516 seguían activas con 58.318 instalaciones. Las cuentas que las publican en general no fueron dadas de baja: 29 de las 30 que sufrieron alguna eliminación conservaban extensiones en línea.

🛒 Te puede servir

AdGuard VPN — 12 meses, 10 dispositivosUna de las 66 marcas que esta campaña copió. Esta es la original, con licencia.Ver precio de hoy → Avast SecureLine VPN — 10 dispositivosPara cifrar la conexión del equipo, con una empresa que responde con su nombre. No reemplaza revisar las extensiones.Ver precio de hoy →

¿Y vos qué opinás? Dejalo en los comentarios ⬇️
Mejor una VPN con nombre y apellido →