Las acusaciones de spyware contra Poper Blocker demuestran que las insignias, las valoraciones y el número de usuarios de Chrome Web Store no son garantías de seguridad. El 28 de septiembre de 2026, Bay Area Labs informó de que había observado que la extensión transmitía las URL completas visitadas, los referentes, los identificadores del navegador y las interacciones con importantes servicios de IA. Poper Blocker seguía apareciendo en el listado el 1 de octubre de 2026, con 2 millones de usuarios, una insignia de Destacado y una valoración de 4,8.
¿Qué encontraron los investigadores dentro de Poper Blocker?
Bay Area Labs descubrió que Poper Blocker recopilaba las URL completas de navegación, los referentes, los datos de huella digital del navegador y las interacciones con IA durante su análisis de septiembre de 2026. Los investigadores también documentaron un intérprete controlado a distancia que podía recibir nuevos programas de recopilación después de la instalación, cambiar los destinos de carga y sincronizar la actividad mediante un identificador entre dispositivos.
La recopilación observada iba más allá de la amplia categoría de «historial del navegador». Según el informe técnico de Bay Area Labs, los datos transmitidos incluían interacciones relacionadas con ChatGPT, Claude, Gemini y Google AI Mode. Una URL completa puede revelar términos de búsqueda, identificadores de documentos, rutas de cuentas u otros parámetros confidenciales, según cómo construya sus direcciones un sitio web.
La política de privacidad de Poper Blocker, modificada el 5 de agosto de 2026, también indicaba por separado que Big Star Labs LP procesa las URL visitadas, las acciones en páginas web, las solicitudes y respuestas de IA, los archivos adjuntos, la actividad de búsqueda y la actividad de comercio electrónico. La política también decía que las filiales pueden comunicar cierta información a clientes para estudios de mercado, desarrollo de inteligencia artificial o análisis del comportamiento del consumidor.
Calificar el caso de Poper Blocker como spyware es una acusación basada principalmente en el trabajo forense de Bay Area Labs, no en una resolución pública de Google ni de un regulador. A fecha de 1 de octubre de 2026, no se había publicado ningún rango de versiones afectadas, CVE, puntuación CVSS ni recuento de víctimas verificado de forma independiente. La confirmación técnica independiente seguía siendo limitada.
¿Poper Blocker hacía capturas de pantalla o subía archivos?
Poper Blocker contenía comandos capaces de capturar pantallas y gestionar cargas de archivos, pero Bay Area Labs no observó esos comandos en funcionamiento en los 40 programas de recopilación capturados durante su prueba de septiembre de 2026. Los investigadores sí observaron directamente URL completas y datos relacionados con IA saliendo del navegador, lo que convierte la capacidad y el comportamiento demostrado en dos hallazgos diferentes.
Esta distinción es importante. El código que puede realizar una acción establece la capacidad técnica; la evidencia de red que muestra esa acción establece su uso observado durante una prueba concreta. No demuestra lo que ocurrió en todas las instalaciones, antes del periodo de prueba ni después de que los investigadores dejaran de monitorizar.
| Datos o función | Hallazgo en 2026 | Lo que establece el hallazgo |
|---|---|---|
| URL completas visitadas y referentes | Observado saliendo del navegador | Recopilación demostrada durante las pruebas |
| Interacciones con servicios de IA | Observado para ChatGPT, Claude, Gemini y Google AI Mode | Acceso demostrado a actividad relacionada con IA durante las pruebas |
| Huella digital del navegador e ID entre dispositivos | Identificado por los investigadores | Posible vinculación de actividad entre sesiones o dispositivos |
| Comando de captura de pantalla | Presente pero inactivo en 40 programas capturados | La capacidad existía; su uso no se demostró en esa muestra |
| Comando de subida de archivos | Presente pero inactivo en 40 programas capturados | La capacidad existía; su uso no se demostró en esa muestra |
Una versión común de los hechos dice que la extensión “robó capturas de pantalla”, pero las pruebas disponibles no respaldan esa afirmación sin matices. La conclusión más sólida y precisa sigue siendo grave: los investigadores observaron que se transmitían datos de navegación y de IA, al tiempo que identificaron comandos inactivos que podrían permitir una recopilación más intrusiva.
¿Por qué las señales de confianza de Chrome Web Store no evitaron el riesgo?
Las señales de confianza de Chrome Web Store no evitaron el comportamiento de spyware de Poper Blocker del que se informó porque el estado de Destacado y la verificación del editor evalúan criterios limitados en lugar de demostrar de forma continua una conducta segura en tiempo de ejecución. El 1 de octubre de 2026, la ficha mostraba 2 million usuarios, 81,600 valoraciones, una puntuación de 4.8 e indicadores de confianza positivos.
Las señales de confianza del marketplace son elementos de la interfaz que ayudan a los usuarios a estimar la legitimidad a partir del estado de las reseñas, la identidad del editor, la popularidad y la reputación. La documentación de Google de 2026 indica que la insignia Destacado refleja una revisión humana de las prácticas técnicas, la experiencia de usuario y el diseño. El estado de Editor consolidado refleja una identidad verificada y un historial positivo con los servicios de Google.
Ninguna de las dos designaciones garantiza que una extensión siga siendo segura después de la instalación o tras una actualización posterior. La tienda mostraba Poper Blocker versión 8.10.4, ID de la extensión bkkbcggnhapdmkeljlodobbkopceiche y un paquete de 5.75 MiB el 21 de septiembre de 2026. Bay Area Labs también informó de componentes diferidos, y Dark Reading describió una espera de aproximadamente 24-hour antes de que apareciera el comportamiento remoto.
Las cifras ponen de manifiesto una útil trampa cognitiva. Una valoración de 4.8 entre 81,600 valoraciones parece una prueba sólida porque la muestra es grande, pero la mayoría de los reseñadores no pueden inspeccionar código ofuscado, instrucciones remotas ni tráfico saliente. La popularidad mide la adopción y la satisfacción. No mide la resistencia frente a la recopilación encubierta de datos.
Sinceramente, tratar una insignia del marketplace como si fuera un perímetro de seguridad es indefendible para una organización gestionada. El mismo problema de visibilidad aparece cuando las empresas intentan identificar servicios de IA no aprobados en los sistemas empresariales: interfaces familiares pueden ocultar flujos de datos que los administradores nunca autorizaron.
¿Qué gravedad tiene el riesgo de spyware de Poper Blocker?
El riesgo de spyware de Poper Blocker es potencialmente alto para los usuarios que introdujeron material confidencial en sitios web o asistentes de IA mientras la extensión estaba activa, aunque el número de personas afectadas sigue siendo desconocido en 2026. Las URL completas y las interacciones con IA pueden exponer planes de negocio, código fuente, consultas de salud, referencias de cuentas o rutas de documentos internos.
Un cálculo sencillo de exposición muestra por qué las empresas deberían preocuparse. Si solo el 1% de los 2 millones de usuarios mostrados por la extensión manejó datos sensibles durante la navegación supervisada, eso representaría 20,000 usuarios potencialmente expuestos. El cálculo es un escenario, no un recuento observado de víctimas, pero demuestra cómo una baja tasa de incidencia se vuelve sustancial a escala de marketplace.
El riesgo también depende del contenido. Visitar la página de inicio de un sitio de noticias público no equivale a abrir un ticket interno cuyo título aparece en la URL, y pedir a un asistente de IA una receta para la cena no equivale a pegar código propietario. Para las organizaciones que ya están lidiando con agentes de IA no gestionados como riesgo de seguridad, la recopilación a nivel de navegador añade otra vía para eludir los controles aprobados.
Bay Area Labs identificó pbapi.xyz durante su análisis de septiembre de 2026. Sin embargo, los investigadores advirtieron de que el intérprete remoto podría cambiar el destino de la carga. Bloquear un dominio conocido puede detener una ruta mientras se pasa por alto la siguiente, por lo que los defensores necesitan inspección de DNS, proxy o red, en lugar de basarse solo en un indicador estático.
Dark Reading informó de que Bay Area Labs notificó a Google en mayo de 2026 y de que Google no había respondido antes del 28 de septiembre de 2026. La extensión seguía siendo accesible el 1 de octubre de 2026. Tampoco había disponible una declaración pública de Google sobre la corrección en esa fecha.
¿Cómo debería auditar las extensiones de Chrome después de este caso?
Una auditoría sólida de extensiones de Chrome combina comprobaciones de identidad, revisión de permisos, pruebas de comportamiento diferidas, inspección de red e inventario recurrente. La guía empresarial de Google de 2026 recomienda listas de permitidos gestionadas, permisos bloqueados e informes a través de la consola Google Admin o de la API de Takeout, en lugar de basarse en valoraciones, insignias o recuentos de instalaciones.
Empiece con la premisa de que la aprobación de instalación no es una aprobación permanente. La propiedad, las políticas de privacidad, las versiones y la infraestructura remota pueden cambiar. El informe sobre el spyware de Poper Blocker es especialmente instructivo porque los investigadores describieron un comportamiento diferido y programas de recopilación seleccionados de forma remota, ambos capaces de eludir una prueba rápida previa a la instalación.
Utilice la siguiente lista de comprobación para navegadores personales y flotas gestionadas:
- Registre el ID de la extensión, la versión instalada, la identidad del editor y el historial de propiedad en 2026.
- Compare cada permiso solicitado y cada patrón de acceso al host con la función declarada de la extensión.
- Inspeccione el manifiesto, los dominios contactados, las solicitudes DNS y el tráfico saliente en lugar de confiar en un único indicador conocido.
- Realice pruebas de comportamiento durante más de 24 horas porque se informó de componentes diferidos en el análisis de Poper Blocker de 2026.
- Configura las instalaciones gestionadas de Chrome por defecto en “bloquear todo” y permite que los administradores mantengan una lista de permitidos documentada.
- Haz inventario de las versiones instaladas con regularidad mediante los informes de Google Admin console o la API de Takeout.
- Repite la evaluación después de una actualización, una transferencia de propiedad, una revisión de la política de privacidad o un cambio en los dominios contactados.
Las políticas de Chrome Enterprise de Google de 2026 pueden limitar qué páginas puede leer o modificar una extensión. Esas restricciones reducen la exposición, pero los permisos de host no enumeran todos los servidores que el código controlado de forma remota podría seleccionar para las subidas. La telemetría de red y el análisis de código cubren esa carencia.
Las personas deberían eliminar una extensión en la que ya no confíen, revisar la sincronización del navegador en otros dispositivos y cambiar las credenciales si las páginas expuestas contenían datos de autenticación. Si los prompts de IA contenían información de la empresa, informa del incidente a través del proceso de incidencias de tu empresa. La privacidad del navegador debe estar junto a la protección del correo electrónico en una pila de privacidad práctica, no por debajo de ella.
Preguntas frecuentes
¿Sigue estando disponible Poper Blocker en Chrome Web Store?
Poper Blocker seguía accesible en Chrome Web Store el 1 de octubre de 2026, mostrando 2 millones de usuarios, una valoración de 4,8 a partir de 81.600 valoraciones y el estado de Destacado. La disponibilidad puede cambiar después de esa fecha.
¿Cuál fue la última versión reportada de Poper Blocker?
Chrome Web Store mostraba Poper Blocker versión 8.10.4 el 21 de septiembre de 2026. La ficha indicaba un paquete de 5.75 MiB y el ID de la extensión bkkbcggnhapdmkeljlodobbkopceiche.
¿Significa una insignia de Destacado que una extensión de Chrome es segura?
Una insignia de Destacado de Chrome Web Store no garantiza una seguridad continua. La documentación de Google de 2026 describe el estado de Destacado como una señal revisada por personas que abarca prácticas técnicas, experiencia de usuario y diseño, no una certificación continua de cada acción en tiempo de ejecución o de cada actualización futura.
¿Deberían los usuarios bloquear pbapi.xyz?
Bloquear pbapi.xyz puede interrumpir un dominio identificado durante el análisis de Bay Area Labs de septiembre de 2026, pero no es una defensa completa. Los investigadores informaron de que el intérprete remoto de la extensión podía cambiar el destino de la subida.