Resumen Ejecutivo
El segundo trimestre de 2025 continuó demostrando la escala y sofisticación de los ataques del lado del cliente, afectando a sitios web de una amplia variedad de sectores, con especial incidencia en plataformas basadas en WordPress. La investigación de cside descubrió más de 72.000 sitios web comprometidos, revelando cómo los atacantes se apoyan en mecanismos de entrega basados en JavaScript, vulnerabilidades en la cadena de suministro de terceros y tácticas engañosas de ingeniería social en el navegador, como las falsas actualizaciones de navegador.
Para CISOs, responsables de riesgo digital y partes interesadas en seguridad, este informe describe las campañas más críticas detectadas durante este trimestre, presentando tanto detalle técnico como perspectiva estratégica para respaldar una toma de decisiones proactiva.
Conclusión clave para directivos: Para los directivos actuales, las amenazas cibernéticas modernas explotan cada vez más las interacciones en el navegador y la confianza de los usuarios en las plataformas CMS más comunes. Defenderse de ellas requiere visibilidad sobre los comportamientos en tiempo de ejecución, una gobernanza rigurosa de scripts e inteligencia de amenazas coordinada. Además, los ataques del lado del cliente dirigidos a plataformas de criptomonedas y entornos de pago conllevan riesgos desproporcionados, a pesar de representar un volumen menor del total de incidentes.
Principales Campañas del Lado del Cliente
1. Estafa de Inyección PWA China - Targeting Móvil con Temática Adulta
- Detectada por primera vez en junio de 2025, esta campaña ya ha afectado a más de 10.000 sitios web y sigue activa.
- Causa Raíz: Código inyectado en el service worker y la lógica PWA de temas y plantillas populares.
- Infraestructura del Ataque: Alojada en subdominios rotativos vinculados a señuelos APK de temática adulta.
- Infraestructura del Ataque: Dominios como qaztool[.]com y sus subdominios fueron responsables de inyectar iframes que tomaban el control de toda la ventana gráfica.
- ¿Qué hace único a este ataque? Solo se activa si se utiliza un dispositivo móvil.
- Fomenta la instalación de PWAs maliciosas que se hacen pasar por aplicaciones para adultos
- Utiliza fingerprinting y cloaking para evadir los sandboxes
2. Google OAuth Weaponizado + Abuso de WebSocket
- Detectado: Mayo de 2025
- Sitios Web Afectados: 22
Causa Raíz: URLs de callback OAuth legítimas secuestradas para activar funciones JavaScript maliciosas.
Infraestructura del Ataque: Abuso de tokens de respuesta de Google OAuth con payloads dinámicos eval(atob(...)) y endpoints WebSocket ofuscados.
Características Destacadas:
- El script solo se activa después de que el usuario se autentica con Google
- Actúa como un beacon con conciencia de sesión o como un ladrón de tokens
- El método de exfiltración por WebSocket evade la monitorización de tráfico tradicional
Por qué esto importa: Los atacantes están secuestrando sistemas de inicio de sesión de confianza como Google OAuth, algo en lo que los usuarios confían de forma inherente.
3. Clon de CoinMarketCap - Drenador de Carteras Falso
- Detectado: Mayo de 2025
- Sitios Web Afectados: Clones de alto valor dirigidos e interceptación de tráfico mediante SEO spoofing
Causa Raíz: Clones falsos de CoinMarketCap inyectados en redes publicitarias y dominios con typosquatting
Infraestructura del Ataque: Dominios falsificados que imitan la interfaz de CoinMarketCap, con ladrones de credenciales y drenadores de carteras integrados
Características Destacadas:
- Replicación píxel a píxel del frontend de CoinMarketCap
- Recolección de credenciales mediante modales de inicio de sesión falsos
- Scripts drenadores de carteras activados tras la autenticación
- En algunas versiones, se utilizó la interfaz de ChatGPT como señuelo secundario
Riesgo Estratégico: La suplantación de plataformas cripto de alta confianza mediante phishing provoca pérdidas reales de activos y socava la confianza en Web3.
4. Abuso de ClickFix - Inyección de Código Despiadada en Múltiples Plataformas
- Detectado: Mayo de 2025
Causa Raíz: Uso malicioso del plugin ClickFix para inyectar JavaScript arbitrario en múltiples plataformas CMS.
Infraestructura del Ataque: Los atacantes aprovecharon la compatibilidad multiplataforma de ClickFix para desplegar payloads ofuscados en WordPress, Joomla y configuraciones CMS personalizadas.
Características Destacadas:
- Inyección dinámica de scripts con targeting contextual
- Los payloads incluían redireccionadores, beacons de seguimiento y skimmers
- Difícil de rastrear debido al uso de funciones nativas del plugin y rutas de script aleatorizadas
Riesgo Estratégico: El acceso persistente entre plataformas permite a los atacantes rotar payloads tras el compromiso sin necesidad de mayor explotación.
5. scriptapi[.]dev - Envenenamiento SEO para Servicios Falsos
- Detectado: Abril de 2025
- Sitios Web Afectados: ~500
Causa Raíz: Inyectado mediante una fuente de script falsa o un plugin de analítica secuestrado.
Infraestructura del Ataque: Hosts de scripts falsificados que inyectaban enlaces ocultos y spam de comentarios.
Características Destacadas:
- Keyword stuffing camuflado dirigido a los rastreadores de motores de búsqueda
- Inyección de cientos de enlaces salientes de forma invisible
- Frecuentemente combinado con redirección de dominios caducados
Riesgo Estratégico: Graves penalizaciones SEO; utilizado para manipular los rankings de búsqueda en favor de sitios fraudulentos.
Recomendaciones Estratégicas para Ejecutivos y CISOs
A medida que las amenazas del lado del cliente se vuelven más sofisticadas y evasivas, los defensores empresariales deben adoptar un enfoque por capas y con visión de futuro para proteger la confianza de los usuarios, la continuidad del negocio y el cumplimiento normativo. Basándose en las tendencias observadas en el Q2 de 2025, cside recomienda las siguientes acciones estratégicas:
1. Gobernanza del Riesgo del Lado del Cliente
Conviértalo en una prioridad: Revise y monitorice todo el código JavaScript de terceros antes y después del despliegue. Para todos los activos JavaScript de terceros. Cada script, plugin o dependencia introducida en la experiencia de usuario debe ser rastreado, verificado y monitorizado en entornos de producción.
2. Capacidades de Detección en Tiempo de Ejecución
Invierta en monitorización basada en comportamiento de los entornos de navegador para detectar acciones maliciosas como inyección de iframes, skimming de credenciales, bucles de redirección o manipulación no autorizada del DOM: amenazas que a menudo son invisibles para las herramientas de análisis estático.
3. El CMS Web como Objetivo de Alto Valor
Plataformas como WordPress siguen siendo objetivos prioritarios para los atacantes debido a su adopción masiva y a una higiene de parches inconsistente. Trate los entornos CMS con rigor de nivel empresarial, incluyendo parcheo automático, pipelines de verificación de plugins y comprobaciones de integridad periódicas.
4. Zero Trust para la Entrega de JavaScript
Asuma que ningún script es seguro; aplique reglas de Zero Trust a todo el JavaScript, incluso al código proveniente de fuentes de confianza. Asuma el compromiso por defecto, aplique CSP (Content Security Policy) y registre cada ejecución de script y solicitud de red para la detección de anomalías y fines de auditoría.
5. Playbooks de Respuesta y Simulaciones de Amenazas
Desarrolle y ensaye playbooks de respuesta a incidentes centrados en:
- Compromisos de JavaScript en la cadena de suministro
- Ataques de inyección del lado del cliente
- Robo de credenciales mediante modales de inicio de sesión falsos
Utilice escenarios del mundo real como Magecart, abuso de PWA y secuestro de plugins como base para ejercicios de simulación.
Resumen de Métricas Clave
Número de Sitios Web Afectados por Tipo de Ataque
Tendencias Estratégicas Observadas en el Q2 de 2025
Durante el Q2 de 2025, varios patrones en evolución definieron el cambiante panorama de amenazas del lado del cliente:
1. Ataques del Lado del Cliente con Enfoque Mobile-First
Las campañas maliciosas priorizan cada vez más el targeting de dispositivos móviles, especialmente Android. Desde redirecciones basadas en PWA hasta señuelos de descarga de APK, los atacantes están optimizando los payloads para navegadores móviles donde la detección y el sandboxing siguen siendo limitados.
2. Weaponización de Funcionalidades Web Legítimas
Las campañas del Q2 abusaron de flujos OAuth, service workers y APIs nativas del navegador para disfrazar la actividad maliciosa como comportamiento normal del usuario. Entre los ejemplos se incluyen el secuestro de sesiones mediante callbacks de Google OAuth y redirecciones persistentes inyectadas a través de service workers de PWA.
3. Erosión de la Confianza en la Interfaz del Navegador
Observamos un aumento en los secuestros de pantalla completa, los modales de inicio de sesión falsos y los clones de píxel perfecto de plataformas de confianza como CoinMarketCap. Estos ataques explotan la confianza del usuario en la interfaz visual del navegador, eludiendo las señales de seguridad tradicionales basadas en URL.
4. La explotación de WordPress sigue siendo generalizada
WordPress continuó siendo el principal punto de entrada para el compromiso del lado del cliente. Los plugins sin parches y los temas inseguros permitieron inyecciones persistentes mediante tácticas como las puertas traseras jquery.bond y el abuso del plugin ClickFix.
5. Inyección de código multiplataforma mediante ClickFix
El plugin ClickFix fue utilizado de forma abusiva para desplegar malware del lado del cliente en WordPress, Joomla y plataformas CMS personalizadas. Sus capacidades de inyección flexibles permitieron a los atacantes adaptar las cargas útiles según el entorno, desde ladrones de credenciales hasta scripts de fraude publicitario. Esto marca un giro hacia la explotación agnóstica de plataforma, extendiendo el alcance de los ataques del lado del cliente más allá de WordPress.
Impacto en el cumplimiento normativo
No se trata solo de un problema técnico: las brechas del lado del cliente pueden acarrear multas del RGPD, demandas judiciales y pérdida de confianza de los clientes. Las organizaciones deben tratar el entorno del lado del navegador como parte de su infraestructura regulada.
1. Reglamento General de Protección de Datos (RGPD)
El malware del lado del cliente, las redirecciones o el abuso de scripts de terceros pueden constituir un incumplimiento de las obligaciones de protección de datos establecidas en el Artículo 32 del RGPD.
Implicaciones:
- Multas de hasta 20 millones de euros o el 4 % de la facturación anual global, la cifra que sea mayor
- Obligación de notificar la brecha a las autoridades supervisoras y a los usuarios afectados
- Daño reputacional derivado de las obligaciones de comunicación pública
2. Riesgo PCI-DSS: skimming en páginas de pago y Magecart
Los ataques del lado del cliente como Magecart, Formjacking y los skimmers en el proceso de pago vulneran directamente los requisitos de PCI-DSS v4.0, en particular los relacionados con el control e integridad de scripts del lado del cliente.
Consecuencias:
- Multas regulatorias y posible pérdida de la certificación PCI
- Obligaciones de notificación de brechas según las directrices del PCI Council
- Daño de marca, pérdida de confianza del consumidor y exposición legal. Dada la omnipresencia de los flujos de pago basados en JavaScript, asegurar los entornos del lado del navegador ya no es opcional para los comerciantes con cumplimiento PCI.
3. Ley de Privacidad del Consumidor de California (CCPA)
Los scripts maliciosos que exfiltran o hacen un uso indebido de información personal pueden desencadenar acciones de cumplimiento bajo la CCPA, entre ellas:
- Derecho de acción privada para los consumidores de California
- Daños y perjuicios legales por brechas de datos, incluso sin intervención regulatoria
- Mayor escrutinio por parte de los reguladores estatales si se demuestra negligencia
4. Reputación de marca y exposición legal
Más allá de las multas y las sanciones formales, las amenazas del lado del cliente generan riesgos empresariales acumulativos:
- Demandas de clientes y pérdida de confianza de los usuarios
- Inclusión en listas negras de motores de búsqueda y plataformas publicitarias (p. ej., Google Safe Browsing)
- Exclusión de redes de afiliados o pérdida de ingresos por fraude o secuestro basado en scripts
Revisión de previsiones de riesgo - Q2 2025
Al inicio del Q2, cside proyectó varios desarrollos de alto riesgo basándose en los patrones del Q1. A continuación se presenta una revisión de esas previsiones, destacando qué amenazas se materializaron y cuáles siguen siendo emergentes o en evolución.
Previsión de riesgos para el Q3 2025
Basándose en las tendencias de ataque observadas en el Q2, cside prevé los siguientes desarrollos para el Q3:
Recomendaciones Estratégicas para Ejecutivos y CISOs
Las organizaciones deben evolucionar más allá de las defensas perimetrales tradicionales y adoptar la monitorización de seguridad del navegador en tiempo real como componente central de su estrategia de gestión de riesgos. A partir de los hallazgos del Q2 2025, cside recomienda las siguientes medidas accionables:
1. Gobernanza de Riesgos en el Lado del Cliente
Establezca políticas de gobernanza formales para todos los activos del lado del cliente:
- Exija revisión previa al despliegue y monitorización posterior al despliegue para el JavaScript de terceros
- Mantenga un inventario de scripts aprobados con control de versiones, validación de hashes y comprobaciones de integridad
2. Capacidades de Detección en Tiempo de Ejecución
Implemente herramientas de monitorización basadas en comportamiento para capturar actividad sospechosa en el entorno del navegador en vivo, como:
- Inyecciones de iframes y tomas de control de página completa
- Manipulación no autorizada del DOM
- Conexiones de red salientes inesperadas. Estas detecciones deben generar alertas antes de que los usuarios se vean afectados.
3. Zero Trust para Contenido de Terceros
Adopte los principios de Zero Trust para el contenido externo:
- Aplique cabeceras Content Security Policy (CSP) para restringir la carga de activos
- Aplique Subresource Integrity (SRI) para todos los scripts de terceros
- Registre y audite todas las cargas de scripts dinámicos y ejecuciones de scripts en línea
4. Postura de Seguridad Reforzada en WordPress
Refuerce la superficie de ataque de su CMS, especialmente en WordPress:
- Aplique parches automatizados en los componentes del núcleo, plugins y temas
- Permita únicamente plugins y temas verificados y auditados en materia de seguridad
- Monitorice la creación no autorizada de cuentas de administrador y la escalada de privilegios
5. Prepare y Pruebe los Playbooks de Respuesta a Incidentes
Desarrolle y ensaye playbooks centrados en las amenazas modernas del lado del cliente:
- Inyección de JavaScript (p. ej., Magecart, wallet drainers)
- Brechas en la cadena de suministro (p. ej., compromiso de plugins o CDN)
- Envenenamiento SEO y daño a la reputación del dominio. Incluya flujos de trabajo de comunicación y divulgación claramente definidos para los organismos reguladores (GDPR, CCPA, PCI-DSS) en caso de brecha.
¿Qué Pasó Después del Q2 de 2025?
Las perspectivas del Q3 de 2025 de este informe identificaron la entrega de payloads aumentada por IA, la expansión de ecosistemas de drainers de carteras y el abuso de APIs legítimas del navegador como OAuth y WebSocket como amenazas emergentes de alta probabilidad. Investigaciones posteriores confirmaron que estos son vectores de ataque continuos en toda la industria. El monitoreo en tiempo real de la capa del navegador, que observa lo que los scripts realmente hacen en sesiones reales de usuarios en lugar de depender de instantáneas de escáneres, sigue siendo el método de detección con más probabilidades de descubrir nuevas variantes de campañas antes de que aparezcan en las firmas de los feeds de amenazas.
Para el trimestre anterior a este informe: Resumen de ataques del lado del cliente Q1 2025.
Lectura relacionada:
Palabras Finales
El panorama de amenazas en 2025 sigue evolucionando. Los atacantes ya no necesitan vulnerar servidores; solo necesitan comprometer un script. El navegador es ahora la primera línea de defensa.
Para mantenerse un paso adelante, las organizaciones deben ir más allá de los modelos de defensa centrados en el servidor e invertir en detección y respuesta a amenazas del lado del cliente en tiempo real. Incluso las amenazas de baja frecuencia y alto impacto, como los wallet drainers de criptomonedas o los ataques de skimming de tarjetas, pueden ocasionar pérdidas financieras significativas y exposición regulatoria.
En cside, seguimos comprometidos con descubrir y publicar amenazas emergentes para empoderar a los defensores, fortalecer la confianza digital y hacer la web más segura para todos.
