money 
Uno extensión de navegador gratuita con millones de descargas captura conversaciones privadas de usuarios con plataformas de inteligencia artificial y vende estos datos a terceros. El descubrimiento fue realizado por KOI, una empresa de seguridad digital que identificó a Urban VPN Proxy como responsable de interceptar diálogos sensibles en servicios como ChatGPT, Claude y Gemini desde julio de 2025.
Urban VPN Proxy tiene más de 6 millones de usuarios sólo en Chrome y cuenta con una calificación de 4,7 estrellas en la tienda oficial del navegador. La herramienta promete ocultar direcciones IP y permitir la navegación anónima, pero los investigadores descubrieron que hace exactamente lo contrario: recopila sistemáticamente todas las conversaciones que los usuarios mantienen con plataformas de inteligencia artificial.
La extensión intercepta conversaciones de diez plataformas diferentes, incluidas ChatGPT, Claude, Gemini, Microsoft Copilot, Perplexity, Deep Research, Grok y Meta IA. El sistema de recolección está habilitado de forma predeterminada y no ofrece ninguna opción visible para desactivarlo. La única forma de detener la captura es desinstalar completamente la extensión del navegador.
Entre los datos extraídos se encuentran todos los mensajes enviados por los usuarios, todas las respuestas proporcionadas por la inteligencia artificial, identificadores únicos de conversación, marcas de tiempo, metadatos de sesión e información sobre qué plataforma y modelo específicos se utilizaron. Esta funcionalidad invasiva se introdujo en la versión 5.5.0, lanzada el 9 de julio de 2025.
Debido a que las extensiones de Chrome y Edge se actualizan automáticamente, millones de usuarios que ya tenían instalado Urban VPN se despertaron un día con un nuevo código funcionando silenciosamente en sus navegadores, sin ninguna notificación ni solicitud de consentimiento. La recopilación se produce continuamente, independientemente de si la VPN está actualmente conectada o desconectada.
Leer más:
Datos sensibles vendidos a terceros
«Cualquiera que haya utilizado ChatGPT, Claude, Gemini u otras plataformas específicas mientras Urban VPN estaba instalado después del 9 de julio de 2025 debe asumir que estas conversaciones ahora están en los servidores de Urban VPN y han sido compartidas con terceros»advierte el informe KOI. Es posible que se hayan vendido problemas médicos, información financiera, códigos de propiedad y dilemas personales para análisis de marketing.
Joan Cwaik, experto en tecnología y profesor de la Universidad de San Andrés, confirma la viabilidad técnica de la operación. «Es 100% probable en términos técnicos y operativos. Se trata de extensiones que ya tenían los permisos necesarios para hacer este tipo de cosas: leer el contenido de la página, inyectar scripts, interceptar tráfico. Nada ilegal desde un punto de vista técnico»explica el experto.
Urban VPN es operado por Urban Cyber Security Inc., una empresa afiliada a BiScience, un conocido corredor de datos. BiScience ha sido blanco de investigaciones anteriores por su recopilación masiva de información de los usuarios. Investigadores como John Tuckner han documentado cómo la empresa recopila datos de navegación y los comercializa a través de productos como AdClarity y Clickstream OS.
El informe de KOI revela que BiScience ha ampliado sus operaciones desde simplemente recopilar el historial de navegación hasta capturar conversaciones completas con inteligencia artificial, una categoría de datos significativamente más sensible. La empresa utiliza estos datos sin procesar para generar información comercial que se comparte con socios comerciales y anunciantes.
Otras extensiones también afectadas
La situación se vuelve aún más preocupante si se tiene en cuenta que Urban VPN no es un caso aislado. Otras siete extensiones del mismo desarrollador también contienen el código de vigilancia, incluidas 1ClickVPN Proxy, Urban Browser Guard y Urban Ad Blocker. En total, aproximadamente 8 millones de usuarios en Chrome y Edge se vieron afectados por la recopilación no autorizada.
La mayoría de estas extensiones muestran la insignia «Destacada» en sus respectivas tiendas de aplicaciones, lo que indica que se han sometido a una revisión manual y supuestamente cumplen con altos estándares de experiencia de usuario. Idan Dardikman, cofundador de Koi Security, cuestiona cómo estas prácticas pasaron desapercibidas durante el proceso de aprobación de las plataformas.
Chrome Web Store presenta información contradictoria sobre la extensión. Si bien la política de privacidad menciona el procesamiento de comunicaciones con inteligencia artificial, la página de la tienda afirma que el desarrollador declara que los datos no se venderán a terceros excepto en casos de uso aprobados. Esta discrepancia plantea serias dudas sobre la transparencia.
El riesgo de las plataformas de IA gratuitas
El problema no se limita a las extensiones maliciosas. Muchos usuarios desconocen que las propias plataformas de inteligencia artificial utilizan conversaciones para entrenar sus modelos. En las versiones gratuitas de ChatGPT, Gemini y otros servicios, el uso de datos para entrenamiento está habilitado de forma predeterminada a menos que el usuario desactive manualmente esta opción en la configuración.
Juan Pablo Cosentino, profesor del IAE Business School, resume la situación con una regla sencilla: «Si es gratis, sepa que nada es realmente gratis. Así que considere que el modelo fue entrenado con sus datos». Destaca que las versiones corporativas generalmente tienen acuerdos formales que protegen la información, pero menos del 10% de los usuarios tienen cuentas pagas.
Riesgos en el entorno corporativo
El riesgo se amplifica en el entorno empresarial. Un informe de Microsoft de octubre de 2025 encontró que el 71% de los trabajadores utilizan herramientas de inteligencia artificial no aprobadas por sus empresas. Otro estudio de TechRepublic reveló que el 77% de los empleados comparten datos confidenciales con ChatGPT o sistemas similares, incluidos contratos, nóminas y estrategias confidenciales.
Los celulares Android vendrán con protección antirrobo activada de fábrica en Brasil
Matías Hilaire, CEO de The App Master, advierte sobre el fenómeno de la adopción “puerta trasera”. «Los empleados y directivos pegan textos confidenciales en chats públicos o cuentas gratuitas. La productividad aumenta, pero también el riesgo de filtraciones de datos y de incumplimiento de las normativas»explica. Recomienda que las organizaciones definan políticas claras sobre el uso de la inteligencia artificial.
Cómo protegerte
Ante los riesgos presentados, los expertos en seguridad digital han desarrollado recomendaciones prácticas para usuarios y empresas. Protegerse contra estas amenazas requiere atención inmediata y medidas preventivas.
1. Revisar todas las extensiones instaladas en el navegador.: Vaya a la configuración de Chrome o Edge y examine cada extensión presente. Elimina los que no uses o que parezcan sospechosos.
2. Desinstale inmediatamente Urban VPN y las extensiones relacionadas: Si tiene instalado Urban VPN Proxy, 1ClickVPN Proxy, Urban Browser Guard o Urban Ad Blocker, elimínelos por completo de su navegador.
3. Verifique la configuración de privacidad en las plataformas de IA: Vaya a la configuración de ChatGPT, Gemini y otros servicios y desactive la opción de compartir datos para el entrenamiento de modelos.
4. Establecer políticas claras en el entorno corporativo: Las empresas deberían crear directrices específicas sobre qué herramientas de IA se pueden utilizar y cómo proteger la información confidencial.
5. Opte por versiones pagas cuando trate con datos confidenciales: Los servicios corporativos suelen ofrecer acuerdos formales de protección de datos que no existen en las versiones gratuitas.
Fuente: La Nación
