Tronlar
Gamma
Verificación en dos pasos activada
¡Usuario con pocos negocios! ¡Utiliza siempre saldo de Forobeta!
Los ciberdelincuentes están aprovechando la popularidad de herramientas como ChatGPT, Claude, Gemini y Perplexity para atraer usuarios a páginas falsas que pueden terminar instalando malware o modificando la configuración del navegador.
Una investigación publicada el 12 de noviembre de 2026 por la empresa de ciberseguridad Island ha identificado una campaña denominada TypoPrompting, que utiliza 186 dominios similares a los de 27 marcas relacionadas con la inteligencia artificial.
El método es bastante sencillo: el usuario escribe mal una dirección web, entra en una página que parece relacionada con la herramienta que buscaba y acaba recibiendo instrucciones para verificar su equipo, instalar una supuesta aplicación de seguridad o añadir una extensión al navegador.
Lo preocupante es que no todas estas páginas intentan lo mismo. Los investigadores han identificado distintas formas de engaño, desde comandos maliciosos hasta aplicaciones capaces de modificar Chrome y extensiones que desvían las búsquedas a terceros.
🔴 186 dominios falsos que imitan herramientas de IA
La investigación de Island identifica dominios que imitan a servicios conocidos como:
- OpenAI ChatGPT.
- Anthropic Claude.
- Google Gemini y NotebookLM.
- Microsoft Copilot.
- Grok y DeepSeek.
- Perplexity.
- Midjourney.
- ElevenLabs.
- Lovable y Cursor.
Los atacantes aprovechan errores al escribir las direcciones, especialmente cuando se cambia una letra, se omite algún carácter o se confunde el orden de dos letras.
Por ejemplo, entre los dominios mencionados en la investigación aparecen:
Insertar CODE, HTML o PHP:
cloude[.]ai
cluade[.]ai
chatlgpt[.]com
geimini[.]com
notebookklm[.]com
deepceek[.]comLas direcciones están desactivadas con corchetes para evitar que alguien acceda accidentalmente.
Algunos de estos dominios llevan registrados desde 2023, por lo que no se trata necesariamente de páginas creadas todas al mismo tiempo.
Además, los investigadores explican que parte de la infraestructura utiliza sistemas de redirección publicitaria. Es decir, el usuario puede pasar por varias páginas antes de llegar al engaño final.
⚠️ Tres formas distintas de engañar a los usuarios
Island ha identificado tres rutas principales dentro de esta campaña.
1. Falsas verificaciones de seguridad que utilizan ClickFix
El usuario termina en una página que imita una comprobación de seguridad, por ejemplo, una supuesta verificación de Cloudflare.
En lugar de realizar una comprobación normal, la página intenta convencerlo de que ejecute instrucciones en su propio ordenador.
En Windows, algunas de estas páginas utilizan la técnica conocida como ClickFix, que puede llevar al usuario a ejecutar un comando de PowerShell.
También se han identificado señuelos para macOS que solicitan ejecutar comandos en la terminal, además de falsas páginas de descarga que indican al usuario que extraiga y ejecute un archivo.
El peligro no está simplemente en visitar una dirección equivocada, sino en seguir las instrucciones que aparecen en la página fraudulenta.
2. Falsas comprobaciones que instalan Net Guard
Otra ruta muestra una supuesta verificación de seguridad y ofrece instalar una aplicación llamada Net Guard.
Según la investigación, esta aplicación puede modificar la configuración del navegador, ejecutar scripts y recibir instrucciones de un servidor remoto.
3. Extensiones que secuestran las búsquedas
La tercera ruta dirige al usuario hacia extensiones de Chrome que pueden sustituir su buscador predeterminado.
Esto permite que las consultas realizadas desde el navegador pasen por servicios de terceros.
En entornos de trabajo, esas búsquedas podrían contener nombres de clientes, proyectos, servicios internos o información que no debería compartirse.
💻 Net Guard: una aplicación firmada que puede controlar el navegador
Uno de los hallazgos más llamativos tiene que ver con Net Guard.
Los investigadores analizaron una aplicación distribuida como supuesto escáner de seguridad Wi-Fi y DNS.
Lo sorprendente es que, según Island, el archivo MSIX descargado desde las páginas fraudulentas era idéntico al distribuido por Microsoft Store y conservaba la firma de la tienda.
Por tanto, no se trataba simplemente de un instalador falso al que alguien había añadido código malicioso.
El investigador Oleg Zaytsev explicó que las capacidades de control del navegador estaban presentes en la propia aplicación analizada.
Entre las acciones documentadas se encuentran:
- Esperar a que el usuario deje de utilizar el ordenador.
- Abrir y modificar la configuración del buscador de Chrome.
- Ejecutar JavaScript dentro del navegador.
- Modificar perfiles y preferencias del navegador.
- Instalar extensiones.
- Recibir configuraciones y scripts desde un servidor remoto.
La investigación describe mecanismos que utilizan automatización de la interfaz, PowerShell, modificaciones del registro de Windows y herramientas de depuración del navegador.
Esto resulta especialmente preocupante porque una aplicación firmada o disponible en una tienda oficial no debería considerarse automáticamente segura.
No significa que todas las aplicaciones de Microsoft Store sean peligrosas, sino que la firma digital, por sí sola, no garantiza que el comportamiento de un programa sea legítimo.
🔎 Extensiones de Chrome con casi un millón de usuarios declarados
La investigación también identifica una ruta relacionada con una dirección falsa de Perplexity.
En este caso, el usuario puede acabar en una extensión llamada Quick Search, disponible en Chrome Web Store en el momento del análisis.
Según Island, la extensión modifica el proveedor de búsqueda predeterminado para utilizar un dominio de terceros:
Insertar CODE, HTML o PHP:
find.flashysearches[.]comLo interesante es que esta modificación puede realizarse mediante la configuración declarada en el manifiesto de la extensión, sin necesidad de utilizar JavaScript para esa función concreta.
Los investigadores relacionan esta extensión con un conjunto de 16 extensiones, entre ellas una denominada GPT for Chrome.
A fecha del 3 de noviembre de 2026, esas extensiones sumaban 972.000 usuarios declarados en Chrome Web Store.
Importante: esa cifra corresponde al número de usuarios mostrado para las extensiones. No demuestra que 972.000 personas hayan sufrido un robo de datos ni que todas hayan llegado a ellas mediante los dominios fraudulentos.
Aun así, muestra el alcance potencial que puede tener una extensión que modifica las búsquedas sin que el usuario comprenda realmente qué está aceptando.
🛡️ Cómo evitar caer en estas páginas falsas
La principal recomendación es comprobar la dirección web antes de introducir datos, descargar programas o instalar extensiones.
También conviene tomar algunas precauciones:
- Guardar las direcciones oficiales en favoritos, especialmente si utilizáis herramientas de IA todos los días.
- Desconfiar de páginas que pidan ejecutar comandos en PowerShell o en la terminal para completar una supuesta verificación.
- No instalar aplicaciones de seguridad recomendadas por una página a la que habéis llegado por error.
- Revisar las extensiones instaladas en Chrome y eliminar las que no reconozcáis o ya no utilicéis.
- Comprobar si el buscador predeterminado ha cambiado sin vuestro permiso.
- Revisar los permisos de las extensiones antes de instalarlas.
- Mantener el navegador y el sistema operativo actualizados.
Una verificación de seguridad legítima no debería obligarnos a copiar y ejecutar comandos desconocidos en el ordenador.
Si ya habéis seguido instrucciones de una página sospechosa, conviene revisar el equipo con una herramienta de seguridad actualizada y comprobar las extensiones, los programas instalados y la configuración del navegador.
Si además introdujisteis credenciales en una página falsa, es recomendable cambiarlas desde la web oficial y revisar las sesiones abiertas.
📅 ¿Qué se sabe a 12 de noviembre de 2026?
Los principales datos publicados por Island son los siguientes:
- 186 dominios que imitan a 27 marcas de inteligencia artificial.
- Una infraestructura más amplia de 211 dominios de entrada identificada en el análisis de una de las rutas de ataque.
- Señuelos ClickFix que intentan conseguir que los usuarios ejecuten comandos.
- Ocho dominios similares relacionados con páginas falsas de verificación que conducen a Net Guard.
- Una ruta de secuestro de búsquedas relacionada con 16 extensiones de Chrome.
- 972.000 usuarios declarados para esas extensiones a fecha del 3 de noviembre.
Hay que distinguir entre los dominios identificados, las aplicaciones analizadas y las víctimas reales.
La investigación no establece que todos los visitantes de esos dominios hayan sido infectados ni que todos los usuarios de las extensiones hayan sufrido un robo de información.
Lo que sí demuestra es cómo un simple error al escribir una dirección puede convertirse en una cadena de redirecciones, instalaciones y cambios en el navegador.
Y esto afecta especialmente a quienes utilizamos herramientas de IA para trabajar, programar, crear contenido o gestionar proyectos.
Lo más peligroso de este tipo de campañas es que muchas veces no necesitan explotar una vulnerabilidad complicada: basta con que el usuario confíe en una página que parece legítima y siga unas instrucciones.
🔗 Fuentes
Importante: la información corresponde a la investigación difundida el 12 de noviembre de 2026.
El número de dominios, las extensiones disponibles y el alcance de la campaña pueden cambiar conforme avance el análisis.
Última edición:
