Tabnabbing: cómo prevenir el engaño de pestañas en navegadores web

El tabnabbing es una modalidad de phishing que aprovecha las pestañas que el usuario deja abiertas. Una página puede cambiar su contenido mientras está en segundo plano y mostrar más tarde una pantalla falsa de inicio de sesión. La persona cree volver a un sitio conocido e introduce sus credenciales. El engaño se apoya tanto en la navegación como en la confianza del usuario.

Una variante relacionada es el reverse tabnabbing: una página abierta desde un enlace puede intentar controlar la pestaña de origen mediante la referencia window.opener, si el navegador y las condiciones lo permiten. Los navegadores modernos han mitigado algunos casos, pero sigue siendo recomendable escribir enlaces externos de forma segura y revisar el comportamiento del contenido que abre nuevas ventanas.

En HTML, utiliza rel=“noopener” en enlaces con target=“_blank” cuando sea pertinente; noreferrer puede evitar además el envío de la referencia. En aplicaciones, controla las llamadas a window.open, valida el contenido aportado por usuarios y considera políticas como Cross-Origin-Opener-Policy y una Content Security Policy apropiada. Estas medidas deben probarse en el contexto real del sitio.

Para los usuarios, la defensa más sencilla es comprobar la dirección antes de introducir datos y cerrar sesiones sospechosas. Para los desarrolladores, lo esencial es no tratar como fiable un enlace solo porque parezca legítimo y mantener dependencias y navegadores actualizados.