Dos extensiones de navegador llamadas "Smart Adblocker" y "Adblock for Browser" han sido detectadas robando conversaciones privadas de plataformas de IA como ChatGPT, Claude y Gemini. Aproximadamente 90,000 usuarios instalaron estas herramientas, que ofrecían una funcionalidad real de bloqueo de anuncios mientras registraban secretamente los chats más sensibles de los usuarios.

Dos extensiones de navegador que se hacían pasar por bloqueadores de anuncios han sido sorprendidas grabando secretamente conversaciones privadas de ChatGPT, Claude, Gemini y otras cinco plataformas importantes de IA.

Las extensiones, llamadas “Smart Adblocker” y “Adblock for Browser”, fueron instaladas por aproximadamente 90.000 usuarios antes de que se descubriera la trama.

Los usuarios recibían realmente la funcionalidad de bloqueo de anuncios mientras sus conversaciones de IA más sensibles eran succionadas silenciosamente por completo en segundo plano.

La operación, rastreada internamente como “Panel 231” y nombrada PromptSnatcher por los investigadores, va mucho más allá de un simple registro de datos.

Las extensiones fueron diseñadas para capturar historiales completos de conversación, identificar con qué modelo de IA estaba hablando un usuario e incluso detectar si ese usuario tenía un nivel de suscripción de pago.

La precisión de esta recopilación sugiere una operación con abundantes recursos y un motivo comercial claro detrás de los datos robados.

Los analistas de MalExt Sentry, quienes identificaron y documentaron la amenaza en un informe , rastrearon el descubrimiento hasta un escáner automatizado que señaló un ID de Google Tag Manager recurrente en múltiples extensiones.

Lo que parecía ser un solapamiento menor en las reglas de filtrado resultó ser el primer hilo de una red mucho más grande, que conectaba dos extensiones aparentemente no relacionadas con el mismo motor oculto de recopilación de datos.

Las dos extensiones compartían el mismo código de back-end, infraestructura y un protocolo de comunicación interna llamado LDP_MESSAGE. A pesar de haber sido publicadas bajo nombres diferentes y apuntar a dominios distintos, eran efectivamente la misma herramienta creada por el mismo operador.

Este tipo de despliegue dividido es una táctica conocida para aumentar el alcance y, al mismo tiempo, reducir las posibilidades de que una sola eliminación borre toda la campaña.

Lo que hizo que PromptSnatcher fuera particularmente difícil de detectar fue su uso de listas de filtros de bloqueo de anuncios reales y disponibles públicamente, como EasyList. Esto dotaba a las extensiones de una funcionalidad genuina y operativa que pasaría fácilmente cualquier inspección superficial.

El motor de telemetría oculto se mantenía completamente separado de los componentes de bloqueo de anuncios, haciendo que la capa maliciosa fuera difícil de detectar sin un análisis profundo del código.

Las extensiones bloqueadoras de anuncios PromptSnatcher roban chats de IA

El núcleo del ataque es un script llamado shared-page-capture.js, inyectado directamente en la página web activa. Una vez colocado, intercepta todo el tráfico de red parcheando las funciones globales de fetch, XMLHttpRequest y WebSocket.

Esto significa que cada mensaje enviado o recibido de un chatbot de IA pasaba a través del código malicioso antes de llegar a tu pantalla.

Las conversaciones capturadas se almacenaban temporalmente, con prompts de hasta 10.000 caracteres y respuestas de hasta 30.000 caracteres, antes de ser enviadas a servidores controlados por el operador.

Cada transmisión incluía un ID de dispositivo único, el nombre de la plataforma, el ID de la conversación, el modelo de IA, el nivel de suscripción del usuario y una marca de tiempo. Este nivel de detalle sugiere que los datos robados estaban destinados a la reventa o a la creación de perfiles detallados de usuarios de IA.

El ataque cubría ocho plataformas: ChatGPT, Gemini, Claude, Copilot, Perplexity, DeepSeek, Grok y Meta AI.

El operador podía añadir nuevos objetivos remotamente a través de un servidor de configuración, sin necesidad de lanzar ninguna actualización de la extensión. Meta AI ni siquiera figuraba en el código estático de la extensión, pero ya estaba activa en la configuración remota en vivo.

La brecha de divulgación que lo empeoró todo

Uno de los hallazgos más sorprendentes se refiere a las versiones de Firefox de ambas extensiones. Sus manifiestos declaraban explícitamente data_collection_permissions: none, diciendo formalmente a los usuarios y a Mozilla que no se estaba realizando ninguna recopilación de datos.

Sin embargo, el código subyacente era funcionalmente idéntico al de las versiones de Chrome, que realizaban la captura completa de las conversaciones.

Esto es una contradicción directa entre lo que las extensiones afirmaban hacer y lo que hacían en realidad, afectando a los usuarios que confiaron en el proceso de revisión de Firefox.

El flujo de bienvenida también utilizaba un lenguaje vago de “Protección Mejorada”, sin mencionar que se estaban grabando las conversaciones de IA. Los usuarios que creían que simplemente estaban instalando un bloqueador de anuncios no tenían ninguna forma razonable de saber lo que estaba ocurriendo realmente.

Cualquier persona que tenga instalada cualquiera de estas extensiones debe eliminarla inmediatamente y considerar el cambio de las credenciales de su cuenta de IA como precaución. Revisar el historial de conversaciones recientes en las plataformas afectadas para buscar signos de acceso inesperado es también un paso sensato.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido desactivados intencionalmente (por ejemplo, [.]) para evitar la resolución accidental o el enlace. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.