FreeVPN.One: la trampa de Chrome que roba tu privacidad

En un mundo donde la privacidad digital se ha convertido en un bien preciado, millones de usuarios recurren a servicios VPN para proteger su identidad y datos en línea. Sin embargo, ¿qué pasa cuando la herramienta que promete protegerse convierte en el principal vehículo de espionaje? Esta es la preocupante realidad que revela FreeVPN.One, una extensión de Chrome que, bajo la promesa de ofrecer una conexión VPN gratuita y segura, está capturando las pantallas de sus usuarios y enviando esa información a servidores externos sin consentimiento.

Lo más alarmante de este caso no es solo la existencia de una extensión maliciosa, sino que FreeVPN.One contaba con la insignia "Destacado" de Google en la Chrome Web Store, una distinción que la compañía otorga a las extensiones que "siguen nuestras mejores prácticas técnicas y cumplan un alto estándar de experiencia de usuario y diseño". Con más de 100,000 instalaciones, esta extensión ha estado operando durante meses bajo la apariencia de un servicio legítimo, mientras en realidad realizaba capturas de pantalla de cada sitio web que sus usuarios visitaban.

Este caso, descubierto por la empresa de seguridad Koi Security, expone una vulnerabilidad preocupante en el ecosistema de extensiones de navegador y plantea preguntas importantes sobre la eficacia de los controles de seguridad de Google. ¿Cómo es posible que una extensión con estas características pasara desapercibida durante tanto tiempo? ¿Qué datos han sido comprometidos? Y, lo más importante, cómo podemos protegernos de amenazas similares en el futuro?

security Cómo funciona FreeVPN.One: El mecanismo de espionaje

FreeVPN.One no es simplemente una extensión VPN defectuosa; es una herramienta de espionaje sofisticada diseñada para operar en segundo plano sin que el usuario sea consciente de sus actividades. Según la investigación de Koi Security, esta extensión utiliza un mecanismo de captura de pantalla altamente eficiente que se activa automáticamente cada vez que visitas una página web.

La extensión utiliza una arquitectura de dos etapas para llevar a cabo esta operación. Primero, inyecta automáticamente un script de contenido en cada sitio web que visitas, gracias al permiso all_urls que solicita durante la instalación. Este script espera exactamente 1,1 segundos después de que la página se carga antes de enviar un mensaje interno captureViewport al servicio en segundo plano de la extensión, solicitando la captura de pantalla.

El servicio en segundo plano recibe este mensaje y ejecuta la captura real utilizando la API privilegiada de Chrome chrome.tabs.captureVisibleTab(). Este tiempo de espera no es casual; está diseñado para asegurar que la página se haya renderizado completamente, maximizando así la calidad de la información sensible que podría ser capturada, como contraseñas, datos bancarios, mensajes privados o cualquier otro contenido personal.

Lo más preocupante es que esta captura de pantalla ocurre incluso en sitios web seguros y sensibles, como Google Sheets, Google Fotos, plataformas bancarias o servicios de correo electrónico. Esto significa que la extensión podría haber capturado información extremadamente sensible de sus usuarios, incluyendo credenciales de acceso, datos financieros, documentos personales y conversaciones privadas.

timeline La evolución de una VPN legítima a una herramienta maliciosa

Una de las características más inquietantes de FreeVPN.One es que no comenzó como una extensión maliciosa. Según la investigación de Koi Security, durante años funcionó como una herramienta VPN básica y legítima, cumpliendo con lo que prometía a sus usuarios. Sin embargo, en algún momento, el desarrollador decidió transformarla en una herramienta de espionaje, introduciendo cambios gradualmente para no levantar sospechas.

Finalmente, en la versión 3.1.4 del 25 de julio de 2025, los desarrolladores añadieron cifrado AES-256 y encapsulado de clave RSA, y cambiaron a un nuevo subdominio scan.aitd.one. Mismo comportamiento, pero mucho más difícil de detectar. Lo que comenzó como una VPN de confianza se había convertido en una ventana abierta a la vida digital de sus usuarios.

Esta evolución gradual es particularmente preocupante porque demuestra cómo una extensión aparentemente legítima puede transformarse en una herramienta maliciosa a través de actualizaciones aparentemente inocuas. Los usuarios que habían confiado en la extensión durante años se vieron repentinamente expuestos a un grave riesgo de privacidad sin ninguna advertencia clara del cambio en el comportamiento de la extensión.

key Permisos peligrosos: Las llaves que abren tu privacidad

Una de las cuestiones más críticas en el caso de FreeVPN.One son los permisos que solicita a los usuarios durante la instalación. Mientras que las extensiones VPN legítimas necesitan ciertos permisos para funcionar correctamente, como proxy y storage, FreeVPN.One solicita un conjunto de permisos mucho más amplios que le permiten acceder a casi todos los aspectos de la experiencia de navegación del usuario.

Lo preocupante es que muchos usuarios, al ver que una extensión tiene la insignia "Destacada" de Google, tienden a confiar y otorgan estos permisos sin pensar en las implicaciones. Google afirma que realiza "revisiones de seguridad automatizadas, revisiones humanas y monitoreo de código malicioso o cambios en el comportamiento", pero en este caso, todas estas salvaguardas fallaron.

Además de estos permisos, FreeVPN.One también recopila información del dispositivo y datos de geolocalización al instalarse y al iniciarse. Esta información se envía como análisis codificados en base64 a aitd.one/bainit.php, proporcionando a los desarrolladores un perfil completo de cada usuario, incluyendo su ubicación física y las características de su dispositivo.

"Lo que se vende como seguridad se convierte en un conducto silencioso para recopilar lo que haces y dónde estás. FreeVPN.One muestra cómo una marca de privacidad puede convertirse en una trampa." - Koi Security

privacy_tip Más allá de FreeVPN.One: Los riesgos generales de las extensiones

El caso de FreeVPN.One no es un incidente aislado. Las extensiones de navegador se han convertido en un vehículo popular para los actores de amenazas, ya que les proporcionan acceso a una gran cantidad de información sensible y les ofrecen múltiples vías para la monetización. Una evaluación de riesgos realizada en 2023 sobre 300,000 extensiones de navegador reveló que la mitad (51%) eran de alto riesgo y podrían haber causado "daños importantes".

Otra táctica común es que los autores de amenazas secuestren o adquieran una extensión legítima y la utilicen para enviar actualizaciones maliciosas a toda su base de usuarios. A veces, las extensiones pueden parecer completamente legítimas, pero al activarse se programan para instalar nuevos payloads con funciones maliciosas, como ocurrió con FreeVPN.One.

El problema se agrava porque las personas suelen confiar en las extensiones, especialmente si se descargan de fuentes oficiales. La realidad es que, al instalar y conceder permisos a una extensión, podrías estar permitiendo involuntariamente a agentes maliciosos acceder a tus datos más sensibles. Esta confianza es precisamente lo que explotan los actores de amenazas para llevar a cabo sus actividades maliciosas.

shield Cómo protegerte: Medidas de seguridad esenciales

Ante la creciente amenaza que representan las extensiones maliciosas como FreeVPN.One, es fundamental que los usuarios adopten medidas de seguridad proactivas para proteger su privacidad y datos. Afortunadamente, existen varias estrategias y buenas prácticas que pueden ayudarte a minimizar los riesgos asociados con el uso de extensiones de navegador.

Los permisos que solicita una extensión son uno de los indicadores más claros de su comportamiento potencial. Si una extensión solicita permisos que parecen excesivos para su función declarada, debería ser una señal de alarma. Por ejemplo, un bloqueador de anuncios no debería necesitar acceso a tus contraseñas o datos de navegación detallados.

Finalmente, es importante que evalúes críticamente la necesidad de cada extensión que instalas. Cada extensión que agregas a tu navegador aumenta tu superficie de ataque y representa un potencial riesgo para tu privacidad y seguridad. Antes de instalar una nueva extensión, pregúntate: ¿Realmente necesito esta función? ¿El beneficio que ofrece supera el riesgo potencial? ¿Hay alternativas más seguras para lograr el mismo resultado?

"Todos los programas que instalamos, por pequeños que sean, conllevan un elemento de confianza; de hecho, esta confianza puede ser especialmente importante en el caso de las extensiones del navegador, ya que funcionan directamente dentro de tu puerta de entrada a Internet." - WeLiveSecurity

psychology Conclusión: La importancia de la desconfianza digital

El caso de FreeVPN.One es un recordatorio aleccionador sobre los peligros que acechan en el ecosistema digital. Lo que comenzó como una herramienta legítima para proteger la privacidad se transformó gradualmente en una de las mayores invasiones a la privacidad imaginable, todo bajo la apariencia de un servicio verificado por Google. Este incidente expone vulnerabilidades preocupantes no solo en los controles de seguridad de las tiendas de extensiones, sino también en nuestra tendencia a confiar ciegamente en las herramientas digitales que prometen proteger nuestros datos.

Este incidente también plantea preguntas importantes sobre la responsabilidad de las empresas tecnológicas en la protección de sus usuarios. Google, como operador de la Chrome Web Store, tiene la obligación de garantizar que las extensiones disponibles en su plataforma sean seguras. El hecho de que FreeVPN.One pudiera operar durante meses con la insignia "Destacada" mientras realizaba actividades de espionaje sugiere que los controles actuales son insuficientes.

En última instancia, el caso de FreeVPN.One nos enseña que en el mundo digital, la desconfianza saludable es una de nuestras mejores defensas. No se trata de vivir con paranoia constante, sino de adoptar un enfoque crítico y consciente de las herramientas digitales que utilizamos y de los permisos que otorgamos. Cada extensión que instalamos, cada aplicación que descargamos, cada servicio que utilizamos, representa una decisión sobre nuestra privacidad y seguridad.

Como usuarios, tenemos la responsabilidad de educarnos sobre los riesgos digitales y adoptar prácticas de seguridad sólidas. Pero también las empresas tecnológicas tienen la responsabilidad de implementar controles más estrictos y transparentes para proteger a sus usuarios. Solo a través de un esfuerzo conjunto entre usuarios y empresas podemos construir un ecosistema digital más seguro y respetuoso con la privacidad.

"La próxima vez que busques descargar un complemento para tu navegador, ten en cuenta los riesgos a los que puedes exponerte. Lo que se vende como seguridad puede convertirse en una trampa para tu privacidad." - WeLiveSecurity