Un simple paseo por una web maliciosa podría bastar para que un atacante obtenga pistas sobre tu historial de navegación, qué servicios utilizas e incluso qué aplicaciones tienes abiertas en tu ordenador. Ese es el escenario que dibuja FROST, una nueva técnica presentada por investigadores de la Universidad Tecnológica de Graz, en Austria, que pone el foco en un elemento hasta ahora poco habitual en este tipo de amenazas: el disco SSD.
El problema no es el historial guardado por el navegador ni en las cookies, sino en la actividad del propio almacenamiento del equipo. En otras palabras, el disco puede delatar parte de los hábitos digitales del usuario incluso cuando este cree que está navegando con mayor privacidad.
Qué es FROST y por qué preocupa a los expertos
FROST son las siglas de Fingerprinting Remotely using OPFS-based SSD Timing. Se trata de un ataque de canal lateral, es decir, una técnica que no roba la información accediendo directamente a archivos o contraseñas, sino observando señales indirectas del sistema. En este caso, el rastro se encuentra en los tiempos de lectura y escritura del disco SSD.
La clave del hallazgo es que el ataque puede ejecutarse desde el navegador mediante código JavaScript, sin instalar programas en el ordenador de la víctima y sin necesidad de permisos especiales.
Basta con que el usuario entre en una página preparada para ello. Desde ahí, el sistema analiza cómo responde el disco cuando el equipo abre determinadas webs o lanza ciertas aplicaciones.
Los investigadores comprobaron que esa actividad deja patrones bastante estables. Cada servicio, cada web y cada programa generan un comportamiento distinto en el almacenamiento, una especie de huella técnica que puede ser interpretada después con ayuda de inteligencia artificial.
El papel de OPFS en este nuevo espionaje digital
El punto de apoyo de FROST está en OPFS, siglas de Origin Private File System. Esta función está integrada en navegadores modernos y permite que aplicaciones web creen y gestionen archivos directamente en el dispositivo del usuario.
Su objetivo es mejorar el rendimiento de herramientas exigentes, como editores de vídeo, plataformas de diseño, aplicaciones fotográficas o videojuegos que funcionan en el navegador.
Sobre el papel, OPFS es una utilidad legítima. El problema aparece cuando esa capacidad se aprovecha para generar grandes archivos dentro del SSD y medir con precisión cuánto tardan ciertas operaciones. Si al mismo tiempo el usuario está visitando otras páginas o abriendo programas, se producen variaciones en el rendimiento del disco. Esas oscilaciones son justo la materia prima del ataque.
El estudio explica que el archivo creado por la web atacante debe superar la memoria RAM disponible para obligar al sistema a trabajar con el disco SSD real y no solo con la caché. Ahí es donde empiezan a aflorar los tiempos de acceso que luego se utilizan para identificar actividad.
Una red neuronal convierte el ruido del SSD en datos útiles
La parte más sofisticada de FROST llega después. Una vez recogidos los tiempos de acceso al disco, el sistema utiliza una red neuronal convolucional para clasificar patrones. Es decir, transforma simples variaciones de rendimiento en pistas concretas sobre la actividad del usuario.
Las pruebas realizadas por los investigadores reflejan cifras llamativas. El ataque logró identificar páginas visitadas con una puntuación F1 del 88,95 % y aplicaciones abiertas con un 95,83 % en equipos macOS. Además, el trabajo describe un canal encubierto con una capacidad real de 891,77 bits por segundo en macOS y de 661,63 bits por segundo en Linux. Son datos de laboratorio, pero suficientes para demostrar que el riesgo no es teórico.
Uno de los aspectos que más inquieta es que el método no depende del navegador en el que la víctima consulta otras webs. Al basarse en la contención del SSD, el espionaje puede observar actividad generada por otras pestañas e incluso por otros programas que usen el mismo disco.
Por qué el modo incógnito no sirve de escudo
El nombre del artículo no es exagerado: el modo incógnito no neutraliza FROST. La razón es sencilla. La navegación privada evita que el navegador guarde determinados datos locales, como historial, cookies o formularios, pero no impide que la carga de una página provoque actividad en el almacenamiento.
FROST no necesita leer el historial del navegador. Le basta con medir cómo se comporta el disco SSD cuando se accede a ciertos sitios. Si una web concreta produce un patrón reconocible en el disco, el ataque puede inferir que ha sido visitada aunque el usuario haya abierto la sesión en modo privado.
Eso cambia bastante la percepción del modo incógnito, que a menudo se utiliza como si fuese una barrera de anonimato total. No lo es. Y esta investigación vuelve a dejar claro que la privacidad en el navegador tiene límites muy concretos.
Qué alcance real tiene hoy y cómo puede detectarse
Por ahora no hay constancia pública de campañas reales usando FROST fuera del laboratorio. Aun así, el trabajo sí demuestra que la técnica es viable y que afecta a una parte importante del ecosistema web actual. Los investigadores trasladaron sus hallazgos a Google, Apple y Mozilla antes de hacerlos públicos.
Entre las medidas defensivas propuestas hay dos especialmente llamativas. La primera es vigilar el espacio libre del SSD: si una web llega a crear archivos enormes para ejecutar el ataque, una caída repentina de decenas o incluso cientos de gigas podría ser una señal anómala. La segunda pasa por endurecer los navegadores y exigir permiso expreso antes de que una página pueda crear determinados archivos a través de OPFS.
