Durante años, las campañas de phishing contra Facebook han seguido patrones relativamente previsdecibles: correos electrónicos alarmistas, enlaces a páginas falsas y formularios que imitaban de forma burda la pantalla de inicio de sesión. Sin embargo, en los últimos seis meses se ha producido un salto cualitativo en las técnicas de engaño. Los ciberdelincuentes están adoptando de forma masiva el denominado browser-in-the-browser (BitB), o “navegador dentro del navegador”, una nueva ciberestafa que copia el login de Facebook y replica con enorme fidelidad las ventanas emergentes de autenticación y que dificulta al extremo la detección visual del fraude.
Según investigadores de Trellix, este enfoque se está utilizando de manera creciente para el robo de credenciales de Facebook, una plataforma con más de tres mil millones de usuarios activos y, por tanto, un objetivo de altísimo valor para redes criminales dedicadas a estafas, suplantación de identidad y distribución de malware.
Una ilusión perfecta dentro de la pantalla
La técnica BitB fue presentada por primera vez en 2022 por el investigador de seguridad conocido como mr.d0x como una prueba de concepto. Su planteamiento era tan simple como inquietante: en lugar de redirigir a la víctima a una web falsa, el atacante crea una ventana emergente dentro de la propia página maliciosa que imita exactamente el aspecto de un cuadro de inicio de sesión legítimo.
Esta “ventana” no es un proceso real del sistema operativo ni del navegador, sino un iframe cuidadosamente diseñado. Puede mostrar una barra de título, un supuesto dominio, iconos e incluso animaciones que reproducen el comportamiento de una autenticación real de Meta, Google u otros grandes servicios. Para el usuario medio, no existe ninguna diferencia visual entre una ventana auténtica y esta simulación.
El resultado es una ilusión extremadamente convincente: la víctima cree estar introduciendo su contraseña en un cuadro oficial de Facebook, cuando en realidad está entregando sus credenciales directamente a los atacantes.
Campañas más sofisticadas y creíbles
Trellix ha detectado que estas campañas no se limitan a un único señuelo. Los correos electrónicos y mensajes utilizados apelan a situaciones de alta urgencia emocional: supuestas infracciones de derechos de autor, avisos de inminente suspensión de la cuenta, notificaciones de inicios de sesión sospechosos o comunicaciones que aparentan proceder del equipo de seguridad de Meta.
Para reforzar la credibilidad, los atacantes incorporan enlaces acortados, páginas falsas con CAPTCHA y, en algunos casos, redirecciones que simulan pasar por el Centro de Privacidad de Meta. Todo ello conduce finalmente a la ventana BitB, donde se solicita al usuario que “verifique” su identidad.
Este tipo de ingeniería social explota dos factores clave: el miedo a perder el acceso a una cuenta personal o profesional y la confianza en interfaces visuales que los usuarios ven a diario. La familiaridad se convierte así en una debilidad.
¿Por qué Facebook sigue siendo un objetivo prioritario?
El valor de una cuenta de Facebook va mucho más allá del acceso a una red social. Para los ciberdelincuentes, representa una puerta a datos personales, conversaciones privadas, contactos, fotografías, información laboral y, en muchos casos, a otras plataformas vinculadas mediante inicio de sesión único.
Las cuentas comprometidas pueden utilizarse para difundir estafas y enlaces maliciosos con mayor credibilidad, realizar campañas de desinformación, cometer fraudes por suplantación de identidad, acceder a servicios de terceros asociados al perfil y vender accesos en mercados clandestinos.
En el caso de empresas y creadores de contenido, el secuestro de una cuenta puede tener también un impacto económico directo, al perder el control de páginas, campañas publicitarias o comunidades con miles de seguidores..
Cómo detectar una ventana falsa
Los expertos destacan un detalle técnico que puede delatar el engaño: las ventanas creadas mediante iframes no son independientes del navegador. Si el usuario intenta arrastrarlas fuera del marco principal, no podrán separarse, a diferencia de una ventana real del sistema.
Otra recomendación clave es no interactuar nunca con formularios de inicio de sesión que aparezcan como respuesta a un enlace recibido por correo o mensaje. Ante cualquier alerta de seguridad, lo más prudente es abrir una nueva pestaña y acceder manualmente al sitio oficial escribiendo la dirección.
La activación de la autenticación multifactor (2FA) sigue siendo una barrera fundamental. Aunque no impide el robo de contraseñas, sí puede frustrar el acceso no autorizado y alertar al usuario de que alguien está intentando entrar en su cuenta.
