Utilizar gestores de contraseñas, es una manera muy útil de almacenar las claves y poder acceder a cuentas de todo tipo. Esto permite utilizar contraseñas variadas, complejas, sin necesidad de tener que memorizar cada una de ellas para entrar en Facebook, en el correo, en la cuenta de Amazon, en el banco… Sin embargo, es importante siempre utilizar programas de garantías. En este artículo, nos hacemos eco de un descubrimiento que alerta de cómo algunos de los administradores de claves más populares, son vulnerables a un tipo de ataque.
Concretamente, tienen vulnerabilidades ante ataques de Clickjacking. Se trata de una técnica en la que la víctima hace clic en un enlace en un sitio web que cree que es legítimo y fiable, pero realmente es una estafa, es un sitio web superpuesto en la página real. Esto permite a los atacantes robar credenciales, códigos 2FA o datos bancarios.
Descubren vulnerabilidades en gestores de contraseñas
Estas vulnerabilidades han sido presentadas en la DEF CON 33, una conferencia de investigadores de seguridad, por parte de Marek Tóth. Además, analistas de seguridad de Socket, verificaron posteriormente estos hallazgos, como puedes ver en su informe técnico publicado el 19 de agosto. Esto ha servido para ayudar e informar a los proveedores afectados y coordinar la divulgación pública.
De forma técnica, podemos decir que los ciberdelincuentes podrían explotar estas vulnerabilidades de seguridad cuando las víctimas visitan páginas maliciosas, vulnerables a secuencias de comandos entre sitios (XSS) o envenenamiento de caché, donde los atacantes superponen elementos HTML invisibles sobre la interfaz del gestor de contraseñas. La víctima realmente no ve dónde está haciendo clic y, en consecuencia, están filtrando información.
Marek Tóth realizó pruebas con algunos de los gestores de contraseñas más utilizados. En concreto, detectó que seis de ellos, en ciertas versiones, podrían filtrar información en determinadas situaciones. Son los siguientes:
- 1Password
- Bitwarden
- LastPass
- Enpass
- iCloud Passwords
- LogMeOnce
Cómo explotan el fallo
Para poder explotar esta vulnerabilidad, un atacante, previamente, tiene que ejecutar un script en un sitio web malicioso, o que haya sido comprometido, donde utilizarán ajustes de opacidad o superposiciones para ocultar el menú desplegable de uno de estos gestores de contraseñas basados en el navegador.
El atacante, posteriormente, va a superponer elementos intrusivos falsos, que van a pasar desapercibidos por parte de la víctima. Va a añadir una capa que pueden ser banners de cookies, ventanas emergentes o CAPTCHA. Los clics que haga la víctima, se van a dirigir a los controles ocultos del gestor de contraseñas, por lo que filtrarían información confidencial sin saberlo.
Este investigador, incluso pudo demostrar la posibilidad de utilizar un método en el que la interfaz de usuario va a seguir al cursor del ratón, por lo que cualquier clic, sea donde sea, activaría el autocompletado de datos y, por tanto, este ataque tendría éxito.
Versiones vulnerables
En total, Marek Tóth probó con 11 gestores de contraseñas distintos. No todos eran vulnerables a los diferentes métodos, pero sí todos ellos lo eran, al menos, a uno. De ellos, seis son los que hemos mencionado, aún sin corregir por completo el problema, y, en su conjunto, cuentan con unos 40 millones de usuarios.
Hay que indicar que, según informa Marek Tóth, 1Password rechazó el informe y alegó que el Clickjacking es un riesgo web general que los usuarios deben mitigar. LastPass calificó ese informe como “informativo”, pero no dejó claro si realizaría o no cambios para mitigar este problema. Bitwarden reconoció el problema, pero minimizó el impacto, aunque han indicado que lo han solucionado con la versión 2025.8.0, que ya está disponible.
Las versiones vulnerables son las siguientes:
- 1Password 8.11.4.27
- Bitwarden 2025.7.0
- Enpass 6.11.6 (corrección parcial implementada en 6.11.4.2)
- iCloud Passwords 3.1.25
- LastPass 4.146.3
- LogMeOnce 7.12.4
Respecto a los otros cinco gestores de contraseñas hasta completar los 11 analizados, son Dashlane, NordPass, ProtonPass, RoboForm y Keeper, los cuales ya han lanzado actualizaciones para sus respectivas aplicaciones.
Según publica el medio especializado en ciberseguridad BleepingComputer, LastPass ha informado que esta vulnerabilidad detectada por Marek Tóth pone de manifiesto un desafío más amplio al que se enfrentan todos los gestores de contraseñas y que ellos han implementado ciertas medidas de seguridad contra el Clickjacking, como es mostrar una notificación emergente que aparece antes del autocompletado de contraseñas.
| Proveedor | Versión Vulnerable | Estado Actual | Versión Segura / Medida |
|---|---|---|---|
| 1Password | 8.11.4.27 | Postura Cuestionada | Sin parche confirmado; alegan riesgo general. |
| Bitwarden | 2025.7.0 | Solucionado | Versión 2025.8.0 o superior. |
| LastPass | 4.146.3 | Postura Cuestionada | Sin parche confirmado; alegan mitigaciones existentes. |
| Enpass | 6.11.6 | Parcialmente Solucionado | Corrección parcial desde 6.11.4.2. |
| iCloud Passwords | 3.1.25 | Vulnerable | Sin parche confirmado. |
| LogMeOnce | 7.12.4 | Vulnerable | Sin parche confirmado. |
| Dashlane, NordPass, ProtonPass, RoboForm, Keeper | N/A | Solucionado | Actualizaciones ya lanzadas. |
Para evitar problemas, si utilizas algún gestor de contraseñas de los que sí han corregido esta vulnerabilidad, es esencial que verifiques que tienes la última versión instalada. Además, te recomendamos siempre instalar administradores de claves seguros, que realmente ayuden a proteger las contraseñas.
Sigue estos pasos para asegurarte de que estás protegido:
- En Google Chrome: Escribe chrome://extensions en la barra de direcciones. Busca tu gestor en la lista y comprueba el número de versión. Si no coincide con la última versión segura, activa el ‘Modo de desarrollador’ en la esquina superior derecha y pulsa el botón ‘Actualizar’.
- En Mozilla Firefox: Escribe about:addons en la barra de direcciones. Haz clic en el icono del engranaje en la parte superior y selecciona ‘Buscar actualizaciones’.
- En Microsoft Edge: Escribe edge://extensions en la barra de direcciones y activa el ‘Modo de desarrollador’ abajo a la izquierda para que aparezca el botón ‘Actualizar’.
Compara siempre la versión instalada con la última versión estable listada en la página web oficial del proveedor. Nunca instales o actualices aplicaciones o extensiones desde sitios de terceros, ya que podrían ser inseguros.
Más allá de usar un buen gestor de contraseñas, te recomendamos que tomes ciertas medidas de precaución para evitar intrusos en tus cuentas. Por ejemplo, es fundamental habilitar la autenticación en dos pasos. Es algo que podrás hacer en tus redes sociales, tiendas online y otras muchas plataformas. Consiste en crear un segundo código de acceso, una segunda protección, que va más allá de la clave tradicional. Te ayudará a crear una capa extra de protección.
También es fundamental que mantengas tus dispositivos actualizados, para corregir vulnerabilidades que puedan explotar los atacantes y robar tus claves. Además, tener un buen antivirus, es esencial para detectar y eliminar amenazas lo antes posible.