Fecha de publicación: 17 de marzo de 2025
El año pasado, anunciamos la mejora de la seguridad de las cookies y las credenciales con la encriptación vinculada a la app para Chrome.
Si bien observamos que esta nueva protección generó una reducción sustancial en este tipo de robo de cuentas, los atacantes siguen muy motivados a adaptarse a estas nuevas defensas, y seguimos supervisando las técnicas y los comportamientos que usan los ladrones de información.
Desde que se habilitó la encriptación vinculada a la app, observamos un aumento en la cantidad de atacantes que usan la depuración remota de Chrome para extraer cookies. Se ha hablado del uso de este método para robar cookies de Chrome desde 2018. Sin embargo, las entradas de blog recientes que abordan este uso del puerto de depuración remoto y las herramientas para extraer cookies respaldan nuestros datos internos que muestran su mayor popularidad. Mantenemos nuestro compromiso de interrumpir estas técnicas y restringir aún más a los atacantes, lo que aumenta el costo de estos ataques y protege la seguridad de los usuarios de Chrome.
Por lo tanto, a partir de Chrome 136, realizaremos cambios en el comportamiento de --remote-debugging-port y --remote-debugging-pipe. Estos interruptores ya no se respetarán si se intenta depurar el directorio de datos predeterminado de Chrome. Estos interruptores ahora deben ir acompañados del interruptor --user-data-dir para apuntar a un directorio no estándar. Un directorio de datos no estándar usa una clave de encriptación diferente, lo que significa que los datos de Chrome ahora están protegidos contra los atacantes.
En el caso de los desarrolladores que necesitan depurar Chrome (por ejemplo, desde VSCode), las instrucciones ya especifican el uso de un directorio de datos del usuario personalizado, y seguimos recomendando este enfoque para aislar cualquier depuración de perfiles reales.
En el caso de las situaciones de automatización del navegador, te recomendamos que uses Chrome para pruebas, que seguirá respetando el comportamiento existente.
Si tienes algún problema con esta nueva función de seguridad, informa al respecto en crbug.com.