Los gestores de contraseñas, esas aplicaciones que usamos para no tener que recordar ciento y la madre de claves diferentes son muy útiles, pero no son infalibles. En 2025 se descubrió una grave vulnerabilidad en varios de los más populares: un ataque de clickjacking basado en DOM que permite robar datos sin que te des cuenta.
¿Qué onda con este ataque?
-
Un investigador (Marek Tóth) demostró en la conferencia DEF CON 33 que un hacker puede poner una capa invisible sobre una página web. Esa capa engaña al gestor para que auto rellene tus credenciales, tus códigos de 2FA e incluso datos de tarjetas.
-
Lo más scary: con un solo clic desde un sitio malicioso puedes entregar tus secretos (sí, de todo: contraseñas, códigos, datos financieros) sin que lo percibas.
-
¿Quiénes están en riesgo? Algunos de los gestores afectados son: 1Password, Bitwarden, Enpass, iCloud Passwords, LastPass y LogMeOnce.
¿Pero por qué esto sí importa en México?
-
Cada vez más personas y empresas mexicanas dependen de gestores para manejar accesos a cuentas bancarias, laborales y personales. Si un atacante compromete ese “cofre” digital, puede significar robo de datos, fraudes o accesos no autorizados.
-
A nivel empresa, los ciberdelincuentes ven cómo objetivo principal esas aplicaciones, porque ahí están concentradas muchas credenciales valiosas.
-
Además, la confianza en estas herramientas puede ser peligrosa si no se toman medidas para configurarlas correctamente. Por ejemplo, no todos los usuarios desactivan funciones automáticas o verifican que su gestor esté actualizado.
¿Cómo protegerte?
-
Desactiva el autocompletado automático (“autofill”) en tu gestor o ponlo en modo “pregunta antes de rellenar”: con esto evitas que se llenen campos ocultos sin que sepas.
-
Actualiza siempre tu gestor de contraseñas. Algunos proveedores ya han lanzado parches para solucionar estas fallas
-
Usa un master password fuerte y activa autenticación multifactor para acceder a tu bóveda; si el atacante no puede pasar esta barrera, sus posibilidades disminuyen muchísimo.
-
Evalúa usar gestores con arquitectura “zero-knowledge” (“cero conocimiento”), donde ni siquiera el proveedor puede descifrar tus datos si no tiene tu contraseña maestra
-
Considera alternativas más seguras para información súper sensible: por ejemplo, gestores locales (no en la nube) o bases cifradas sin conexión.
Sí, los gestores de contraseñas son una de las mejores defensas para proteger nuestras cuentas pero no son una barrera invulnerable. Si no los configuras bien y no mantienes todo al día, podrías estar poniendo en riesgo justo lo que más quieres proteger.
¿No estás seguro si tu empresa o tus equipos están protegidos al 100%? Contáctanos, en GitSecurit podemos hacer una auditoría de tus herramientas, optimizar tu gestor de contraseñas y reforzar tus defensas digitales para que nadie más entre.
Fuentes Web:
https://www.welivesecurity.com/es/contrasenas/seguridad-en-gestores-de-contrasenas/
https://riskmonitor.cloud/password-manager-autofill-clickjacking-flaw
https://netpointsolutions.co.uk/password-manager-attacks-triple-in-2025
https://blog.elcomsoft.com/2025/11/password-managers-security-risks-and-forensic-implications
