Investigadores de Socket han identificado una red de 152 extensiones de Chrome de fondos animados que ocultaban prácticas de rastreo publicitario y manipulaban la procedencia del tráfico para hacerlo pasar por visitas orgánicas desde Google. En conjunto, estas extensiones acumulaban alrededor de 105.000 instalaciones y se distribuían como herramientas de personalización de la pestaña nueva del navegador.
El caso afecta a extensiones de tipo “live wallpaper”, es decir, fondos animados para Chrome que prometen mejorar la apariencia del navegador con imágenes, vídeos o temas visuales. Sin embargo, según el análisis de Socket, detrás de esa apariencia inofensiva operaba una infraestructura diseñada para generar tráfico hacia páginas monetizadas con publicidad y alterar su atribución para que pareciera procedente de búsquedas reales en Google.
El hallazgo vuelve a poner el foco en un riesgo habitual en las tiendas de extensiones: herramientas aparentemente simples que solicitan permisos, modifican la experiencia del navegador y pueden convertirse en vehículos para rastreo, fraude publicitario o manipulación de métricas.
Una red distribuida en 38 cuentas de desarrollador
Las extensiones analizadas compartían una misma base de código, pero no se publicaban desde una única cuenta. Según Socket, la red estaba repartida en 38 cuentas diferentes de desarrolladores de Chrome Web Store y conectada a tres marcas o dominios principales: tabplugins, yowgames y chromewallpaper.
Esta fragmentación no parece accidental. Distribuir extensiones casi idénticas entre múltiples cuentas dificulta que una retirada puntual afecte a toda la operación. Si una cuenta es suspendida o una extensión desaparece, el resto de la red puede seguir funcionando.
De las 152 extensiones identificadas, Socket pudo descargar y verificar el código de 141. Las otras 11 ya habían sido retiradas de Chrome Web Store en el momento del análisis. En todas las extensiones revisadas se repite una firma técnica común: el mismo núcleo de código en el archivo de fondo y una rutina asociada a IndexedDB.
Falsas visitas orgánicas desde Google
La parte más llamativa del caso afecta a un subconjunto de 54 extensiones vinculadas a la marca tabplugins. Estas extensiones manipulaban la atribución del tráfico para que las visitas generadas por la propia extensión parecieran proceder de búsquedas orgánicas de Google.
Dicho de forma sencilla: cuando un usuario instalaba la extensión, esta abría una pestaña hacia una web del operador con parámetros como utm_source=google y utm_medium=organic. Para las herramientas de analítica, esa visita podía aparecer como si el usuario hubiera llegado desde una búsqueda normal en Google. Pero no había existido tal búsqueda: era la extensión la que abría la página automáticamente.
El mecanismo iba más allá en el momento de la desinstalación. Las extensiones configuraban una URL de salida con un formato similar al que utiliza Google cuando alguien hace clic en un resultado de búsqueda. De esta forma, el tráfico hacia la web del operador quedaba envuelto en una estructura que podía hacerlo parecer un clic legítimo desde Google.
Esta práctica es relevante porque el tráfico orgánico tiene un gran valor para webs, anunciantes y programas de afiliación. Indica que una página recibe visitas reales, ganadas por su posicionamiento o interés natural. Si ese tráfico se fabrica mediante extensiones, se contaminan las métricas y se distorsiona la percepción de popularidad de una web.
Rastreo publicitario pese a declarar que no recopilaban datos
Otro punto clave del informe es la contradicción entre lo que las extensiones declaraban en Chrome Web Store y lo que reconocían sus propias políticas de privacidad.
Según Socket, las fichas de las extensiones indicaban que no recopilaban ni utilizaban datos de los usuarios. Sin embargo, las políticas de privacidad enlazadas admitían el registro de información como direcciones IP, proveedor de Internet, número de clics y referencias, además de compartir datos con Google AdSense, DoubleClick y otros socios publicitarios.
Esta discrepancia convierte el caso en un problema no solo técnico, sino también de transparencia. El usuario instala una extensión pensando que no recoge información, pero la documentación externa reconoce prácticas de rastreo vinculadas a publicidad y analítica.
En términos de seguridad, Socket clasifica esta familia como un programa potencialmente no deseado cercano al adware. No se trata de una extensión que robe contraseñas o inyecte malware directamente en las páginas visitadas, pero sí de un ecosistema que genera tráfico forzado, oculta prácticas de medición y monetiza visitas a páginas controladas por sus operadores.
