¿Qué es el ‘tabnabbing’ y por qué puede poner en peligro tu seguridad digital sin que te des cuenta?

En un mundo donde la multitarea en línea se ha vuelto la norma, es muy común que tengas abiertas muchas pestañas en tu navegador mientras trabajas, navegas en redes sociales, haces compras o consultas tu correo electrónico. Sin embargo, ese hábito tan cotidiano podría ponerte en el punto de mira de una de las técnicas de estafa digital más sigilosas y peligrosas de los últimos tiempos: el tabnabbing.

Esta forma de fraude cibernético no necesita instalar virus ni requiere que descargues archivos sospechosos. De hecho, su efectividad radica en su sutileza. El tabnabbing actúa en segundo plano y transforma una pestaña que tú mismo abriste en una trampa para robar tus credenciales sin que percibas el cambio. Lo peor: es tan sofisticado que, a simple vista, parece completamente legítimo. Tanto es así que la Policía Nacional ya ha emitido alertas en España sobre este nuevo modo de estafa online.

¿Cómo funciona el tabnabbing y por qué es tan difícil detectarlo?

Todo comienza cuando haces clic en un enlace aparentemente seguro que te lleva a una web común: una noticia, un artículo interesante, una tienda online o cualquier contenido que no despierta sospechas. Luego, sin cerrar esa pestaña, sigues navegando y la dejas en segundo plano. Es justo en ese momento, cuando ya no le prestas atención, cuando el ataque comienza.

Mediante un código JavaScript insertado por ciberdelincuentes en la página web en cuestión, esa pestaña aparentemente inocente se transforma. Cuando más tarde regresas a ella, te encuentras con lo que parece ser una página de inicio de sesión de un servicio popular como Gmail, Facebook, tu banco o cualquier otro portal que utilices frecuentemente. La pantalla indica que la sesión ha caducado y te solicita que vuelvas a introducir tus credenciales. Como confías en la pestaña y no recuerdas exactamente qué había en ella, introduces tus datos sin sospechar que acaban de ser capturados por un ciberdelincuente.

Este tipo de engaño es especialmente peligroso porque los estafadores cuidan todos los detalles. Usan logotipos oficiales, colores corporativos idénticos a los reales, y hasta colocan el icono del candado de seguridad en la barra de direcciones. La única pista que delata el fraude está en la URL, pero seamos sinceros: ¿cuántas veces verificas la dirección completa del sitio cuando vas a escribir tu contraseña en una página que ya dabas por confiable?

Una estafa al alza en 2025

Los expertos en ciberseguridad advierten que el tabnabbing ha experimentado un incremento del 300% en lo que va de 2025. Esta cifra refleja no solo su creciente uso por parte de los delincuentes, sino también su preocupante eficacia. Según datos recientes, el 40% de las víctimas no se dan cuenta de que han sido estafadas hasta que detectan movimientos sospechosos en sus cuentas bancarias o accesos no autorizados a sus perfiles en redes sociales.

La razón por la cual este método es tan efectivo es que no requiere la instalación de ningún programa malicioso, lo que lo hace casi invisible para la mayoría de los antivirus. Solo necesita una cosa: que confíes en la pestaña olvidada que tú mismo dejaste abierta.

¿Qué sitios suelen imitar estos ataques?

La estrategia del tabnabbing se basa en reproducir la apariencia de plataformas conocidas para obtener tus datos. Los ciberdelincuentes suelen crear réplicas casi perfectas de:

• Bancos como Santander, BBVA, CaixaBank o ING.
• Redes sociales como Facebook, Instagram, LinkedIn o X (antes Twitter).
• Servicios de correo electrónico como Gmail, Outlook o Yahoo Mail.

Este tipo de ataques no solo se aprovechan de la confianza del usuario, sino también de una especie de reflejo automático: cuando una web dice que la sesión ha caducado, introducimos los datos sin pensar dos veces. Precisamente por eso, la Policía Nacional ha comenzado a difundir advertencias en sus canales oficiales, con el objetivo de frenar la propagación de este engaño.

¿Cómo operan los estafadores digitales?

Detrás de estos ataques se esconde una red organizada y difícil de rastrear. Los atacantes suelen emplear dominios temporales, que cambian constantemente, y servidores ubicados fuera del país, lo que complica el seguimiento de sus actividades. Muchas veces incluso utilizan plataformas que se actualizan dinámicamente, dificultando aún más que un navegador o antivirus los detecte a tiempo.

Al tratarse de una estafa que no requiere acción directa por parte del usuario (como descargar algo o abrir un archivo), su peligrosidad aumenta considerablemente. Y lo peor de todo es que muchos ni siquiera se dan cuenta de que están en riesgo hasta que ya es demasiado tarde.

Tres señales de alerta que podrían salvarte

Aunque el tabnabbing puede parecer imposible de identificar, existen ciertas señales que pueden ayudarte a detectarlo a tiempo y evitar caer en la trampa:

1. Solicitudes de datos inusuales: si una web que normalmente no requiere inicio de sesión, como un diario digital o una tienda online, te pide que introduzcas usuario y contraseña sin motivo aparente, desconfía.
2. URLs sospechosas: fíjate bien en la dirección web. A menudo los atacantes utilizan dominios que imitan a los originales con ligeras variaciones, como faceb00k.com (con ceros en lugar de letras), terminaciones raras como .biz o .top, o incluso direcciones sin el protocolo seguro https://.
3. Peticiones exageradas de información: si te solicitan datos que normalmente no se piden en un inicio de sesión, como tu PIN, contraseña anterior o información de tarjeta bancaria, lo más probable es que estés ante un intento de estafa.

¿Cómo evitar caer en la trampa?

Ante este tipo de amenazas, la mejor defensa es la prevención. Estas son algunas recomendaciones básicas pero efectivas para mantenerte a salvo:

• Cierra las pestañas que no estás utilizando, especialmente si las abriste desde enlaces desconocidos o no recuerdas por qué las abriste.
• Revisa siempre la URL antes de introducir tus datos de acceso, incluso si la página parece auténtica.
• Activa la verificación en dos pasos en tus cuentas más importantes, como el correo electrónico o el banco, para añadir una capa extra de seguridad.
• Actualiza tu navegador regularmente, ya que muchas veces las actualizaciones incluyen parches para vulnerabilidades que podrían ser aprovechadas por estos scripts maliciosos.
• Desconfía de cualquier pestaña que pida credenciales sin haberlo hecho antes, incluso si parece una web que usas a diario.

El tabnabbing se ha convertido en una amenaza real y cada vez más extendida que se alimenta de nuestros hábitos cotidianos al navegar. Si eres de los que mantiene múltiples pestañas abiertas durante horas —o incluso días—, estás más expuesto de lo que crees. La desconfianza es una virtud. Y sí, incluso de esa pestaña que lleva una semana abierta sin que recuerdes exactamente qué contenía. Porque en el mundo digital, cualquier descuido puede costarte caro.