Contraseñas, pestañas y marcadores expuestos: cómo una función común de Chrome permite espiar

La función habitual de sincronización en Google Chrome puede convertir el navegador en una herramienta de vigilancia sin que se note. Para ello, el atacante no necesita programas maliciosos ni habilidades técnicas: basta con acceder durante unos minutos al teléfono de otra persona y conectar su propia cuenta de Google al navegador.

Especialistas de la empresa Certo advirtieron sobre este esquema tras una serie de denuncias de personas que se enfrentaron a control digital por parte de sus parejas. En uno de los casos, una mujer buscaba un abogado de familia y consultaba un sitio de ayuda a víctimas de violencia doméstica, y dos días después su pareja le contó qué páginas había abierto y a qué hora.

La mujer usaba solo su teléfono y no notó nuevas aplicaciones. Sin embargo, su pareja había tomado el dispositivo brevemente, abrió Chrome e inició sesión en el navegador con su propia cuenta de Google. Después de que él activó la sincronización, el historial de visitas comenzó a transferirse automáticamente a su perfil.

El titular de esa cuenta puede abrir Chrome en otro teléfono o en un ordenador y ver el historial sincronizado desde cualquier lugar del mundo. No necesita la contraseña de la víctima. La notificación de un nuevo inicio de sesión la recibe el propietario de la cuenta añadida, no el dueño del dispositivo.

El peligro no se limita a la lista de sitios visitados. Chrome también puede sincronizar marcadores, pestañas abiertas, datos de autocompletar y contraseñas guardadas. Si, después de que el atacante conecte el perfil ajeno, la persona guarda la contraseña de un sitio, el atacante podrá verla en su dispositivo e intentar tomar el control de otras cuentas.

Chrome no muestra una advertencia visible de que ha aparecido un nuevo perfil en el navegador o de que la sincronización se ha activado. Muchos usuarios ni siquiera comprueban qué cuenta está conectada a la aplicación. Según StatCounter, en junio de 2026 Chrome tenía el 69,65% del mercado mundial de navegadores, por lo que este esquema simple podría afectar potencialmente a millones de personas. El método funciona no solo en teléfonos inteligentes, sino también en ordenadores con Windows y macOS.

Certo propone que Google añada una notificación temporal al conectar una nueva cuenta y muestre de forma permanente con qué perfil se sincroniza el navegador. Esas indicaciones ayudarían al titular del dispositivo a detectar antes un acceso ajeno sin interferir con el uso habitual de Chrome.

Se puede comprobar el perfil conectado en los ajustes del navegador. En iPhone y iPad la dirección de la cuenta aparece en la parte superior de la sección de ajustes. En Android, Windows y macOS se puede ver al pulsar el icono de perfil. Hay que eliminar cualquier cuenta desconocida y cambiar las contraseñas de servicios importantes, sobre todo si se guardaron en Chrome.

Para búsquedas confidenciales también se puede usar el modo incógnito, ya que las páginas visitadas no entran en el historial sincronizado. Es mejor proteger el propio teléfono con un código complejo y biometría, y en los ajustes comprobar si han agregado huellas dactilares ajenas o datos de reconocimiento facial. La característica principal del esquema es que una función habitual del navegador permite vigilar a una persona casi sin dejar rastro y sin instalar una aplicación espía.