Google ha revelado las diferentes capas de seguridad que ha incorporado a Chrome para combatir el abuso de las notificaciones web, una técnica utilizada cada vez con mayor frecuencia para distribuir estafas, malware o dirigir a los usuarios hacia páginas diseñadas para robar información. Las medidas ya están teniendo un impacto considerable: solo durante el primer trimestre de 2026, la compañía asegura haber reducido en Android más de 7.000 millones de notificaciones diarias.
Las notificaciones push llevan años formando parte de la navegación web y permiten que una página pueda enviar avisos incluso cuando el usuario no la está visitando. Una funcionalidad legítima que también ha terminado convirtiéndose en una herramienta atractiva para los ciberdelincuentes.
Falsos avisos de virus, premios inexistentes, alertas de seguridad, suscripciones fraudulentas o mensajes que intentan convencer al usuario para instalar software son algunos de los contenidos que pueden distribuirse utilizando permisos de notificación obtenidos previamente.
Para combatir este problema, Google ha optado por una estrategia de defensa en profundidad, desarrollada conjuntamente por los equipos de seguridad de Chrome, Safe Browsing y Firebase Cloud Messaging (FCM).
Chrome puede retirar automáticamente los permisos
Una de las principales defensas consiste en controlar qué páginas conservan permiso para enviar notificaciones.
Chrome puede revocar automáticamente la autorización de aquellos sitios con los que el usuario no haya interactuado recientemente. La misma medida se aplica a páginas que hayan recibido repetidamente advertencias por enviar notificaciones sospechosas.
Esto permite eliminar permisos que podrían haber sido concedidos meses atrás y que posteriormente pueden convertirse en una vía para enviar contenido no deseado.
La retirada no es definitiva. Los usuarios pueden revisar qué autorizaciones han sido eliminadas desde el Safety Hub de Chrome y volver a concederlas si consideran que la página es legítima.
Google busca redes completas de páginas maliciosas
El navegador tampoco analiza únicamente el comportamiento individual de cada web.
Google ha desarrollado mecanismos de detección capaces de localizar redes de páginas que trabajan de manera coordinada para distribuir notificaciones abusivas.
Para conseguirlo, sus sistemas analizan diferentes señales de comportamiento, incluida la actividad de los service workers, componentes que permiten a las páginas ejecutar determinadas funciones en segundo plano y que resultan fundamentales para el funcionamiento de las notificaciones push.
Detectar patrones coordinados permite identificar infraestructuras utilizadas para distribuir malware o estafas incluso cuando el contenido visible de una determinada página no parece inicialmente malicioso.
Una vez identificada la red, Chrome puede retirar de manera proactiva sus permisos de notificación.
Límite de 1.000 mensajes por minuto para los dominios abusivos
Otra de las medidas se aplica directamente desde la infraestructura de Firebase Cloud Messaging.
Google ha introducido límites de velocidad en la Push API para reducir las campañas que intentan bombardear a los usuarios con enormes cantidades de mensajes.
Para decidir cuándo aplicar las restricciones, se analizan factores como el volumen de notificaciones en comparación con el tiempo que los usuarios pasan realmente en la página, la frecuencia con la que solicita permisos y el nivel general de interacción.
Los dominios considerados disruptivos quedan limitados a 1.000 mensajes por minuto. Cuando superan esa cifra, el servidor comienza a devolver respuestas HTTP 429, utilizadas para indicar que se han realizado demasiadas solicitudes.
Además, las restricciones aumentan cuando se producen infracciones repetidas y únicamente vuelven a sus valores normales después de un periodo sin comportamientos problemáticos.
El objetivo es incrementar considerablemente el coste y reducir la efectividad de las campañas masivas de notificaciones abusivas.
Chrome también cambia la forma de pedir permiso
Google ha modificado igualmente la propia experiencia mediante la que las páginas solicitan autorización para enviar notificaciones.
En Android, Chrome dispone de una interfaz renovada destinada a reducir la denominada fatiga de permisos, que aparece cuando los usuarios reciben continuamente ventanas solicitando autorización y terminan aceptándolas sin prestar demasiada atención.
La compañía busca que la decisión sea menos intrusiva y que el usuario pueda valorar mejor si realmente quiere recibir avisos de esa página.
Esta medida se suma a la posibilidad de cancelar con un solo toque las notificaciones no deseadas en Android, una funcionalidad introducida anteriormente para facilitar la retirada de permisos.
Fraudes, malware y robo de información
El abuso de las notificaciones no representa únicamente una molestia para los usuarios.
Los ciberdelincuentes pueden utilizarlas como mecanismo de distribución para dirigir a las víctimas hacia páginas fraudulentas, intentar obtener información personal, solicitar pagos o distribuir malware.
Precisamente por ello, Google plantea su estrategia como un modelo de “queso suizo”: ninguna medida de seguridad es perfecta por sí sola, pero varias capas superpuestas permiten que una defensa pueda detener aquello que haya conseguido superar la anterior.
La reducción de las notificaciones también tiene efectos adicionales. Al existir menos actividad innecesaria en segundo plano, disminuye el consumo de recursos y batería de los dispositivos.
