Las amenazas basadas en navegador no solo persisten, sino que se están multiplicando y sofisticando a un ritmo vertiginoso. Así lo recoge el informe State of Browser Security 2025 elaborado por Menlo Security, que alerta sobre un aumento del 140% interanual en ataques de phishing a través del navegador, alcanzando más de 752.500 incidentes detectados en más de 800 empresas.
Con el auge del teletrabajo, el uso intensivo de herramientas SaaS, entornos híbridos y políticas BYOD, el navegador se ha convertido en el principal vector de entrada para los ciberataques más avanzados.
El phishing sigue siendo el método de ataque más usado
El informe revela una tendencia alarmante: el uso de inteligencia artificial por parte de los atacantes para automatizar y perfeccionar ataques. Sólo en 2024, Menlo detectó casi 600 incidentes en los que se usaron nombres de plataformas de GenAI falsas para lanzar campañas de phishing.
Estas páginas fraudulentas simulan ofrecer servicios de IA premium, pero en realidad están diseñadas para robar credenciales, recopilar datos personales o redirigir a los usuarios a formularios maliciosos. Aseguran desde la compañía que la combinación de deepfakes, ingeniería social avanzada y técnicas de evasión convierte a estas campañas en extremadamente difíciles de detectar con soluciones tradicionales.
Fallos en los navegadores: puerta abierta al cibercrimen
Durante 2024 se descubrieron múltiples vulnerabilidades críticas, como “0.0.0.0 Day”, que es un fallo que permite a sitios web externos comunicarse con servicios locales en sistemas macOS y Linux a través del navegador, poniendo en riesgo aplicaciones que se ejecutan en localhost. También destaca el informe el CVE-2024-7971 (Chrome), una vulnerabilidad que permite la ejecución remota de código y fue aprovechada por atacantes antes de que se lanzaran parches de seguridad.
Estos fallos evidencian que los navegadores, si bien son herramientas esenciales para la productividad, también son una superficie de ataque crítica.
Phishing más realista y difícil de frenar
El phishing sigue siendo el método de ataque más usado. En 2024, más del 51% de los ataques de phishing por navegador utilizaron técnicas de suplantación de marca, siendo Microsoft, Facebook y Netflix las más imitadas.
Además, las campañas de phishing evolutivas como LURE (Legacy URL Reputation Evasion) aprovechan sitios comprometidos con escasa protección para evadir filtros web tradicionales. Estos ataques no solo roban credenciales, sino que también instalan malware y permiten el movimiento lateral en la red corporativa.
Kits de phishing como Greatness (Phishing-as-a-Service) permiten lanzar ataques completos —con soporte en Telegram, plantillas, panel de control y scripts— sin conocimientos técnicos. Otro caso, Open Water, reutiliza dominios y directorios abiertos en servicios en la nube para almacenar credenciales robadas y distribuir nuevas campañas.
Tendencias que marcarán 2025 según Menlo Security
El informe concluye con cinco predicciones clave:
- El ransomware seguirá creciendo, con ataques dirigidos a sectores críticos como salud, energía o transporte.
- Auge de los deepfakes y suplantación de confianza, que complicarán aún más la identificación de amenazas.
- Mayor brecha de ciberprotección entre grandes empresas y pymes, estas últimas sin capacidad para proteger el navegador ni monitorizar comportamiento.
- IoT y dispositivos edge como nuevo objetivo, desde cámaras de seguridad hasta dispositivos médicos o sistemas industriales.
- Más riesgos internos en entornos híbridos, con empleados bienintencionados convirtiéndose en puertas de entrada involuntarias para los atacantes.
Menlo propone el uso de Secure Cloud Browsing, que permite aislar la actividad del usuario sin afectar su experiencia. Este modelo protege contra ataques evasivos, suplantación de marca y exploits de navegador, integrando análisis en tiempo real y detección por IA para frenar amenazas desde el primer momento.
“El navegador ya no es solo una herramienta. Es la primera línea de batalla de la ciberseguridad”, concluye el informe.
