Recompensa de Google Chrome: exploit de cadena completa sacude la ciberseguridad

La recompensa de US$250.000 otorgada a XBOW por explotar una cadena completa en Google Chrome ha puesto un punto final histórico en la ciberseguridad. Este ataque, realizado por un equipo de cuatro investigadores y con el apoyo del modelo GPT-5.6 de OpenAI, demuestra que obtener control absoluto sobre un sistema con Windows, sin descargas ni clics sospechosos, ahora puede lograrse en solo seis días y con un gasto de cómputo de US$40.000.

El equipo había presentado un plan inicial a Google, pero la empresa advirtió que uno de los fallos ya estaba registrado en sus sistemas internos. Sin embargo, el grupo reconstruyó todo el ataque a contrarreloj para asegurar una ganancia. El navegador de Google, que protege a más de tres mil millones de personas, utiliza sandboxing estricto, aislamiento de sitios por proceso y compilación en tiempo real para evitar estos tipos de ataques.

Los detalles compartidos por XBOW revelan que esta recompensa es la primera entregada bajo el nuevo marco de reglas de seguridad de Google para 2026. A diferencia de los métodos tradicionales, que requieren meses de trabajo, esta técnica automatizada permitió a los investigadores superar los varios fallos necesarios para escalar privilegios y llegar al núcleo de Windows.

Una vez que el ataque se inicia en una página web manipulada, puede tomar el control silencioso del sistema operativo, exponiendo contraseñas bancarias, sesiones abiertas y correos corporativos. Para evitar esto, se recomienda realizar actualizaciones de seguridad y auditorías defensivas en el código compilado antes de que se distribuyan a los usuarios.

XBOW ya está trabajando en un producto autónomo para evaluar aplicaciones de escritorio, servidores e infraestructura embebida en busca de fallos lógicos. Google ha aplicado las correcciones necesarias en el canal estable de Chromium para neutralizar el ataque reportado.