Alguien en tu empresa tiene instaladas entre 8 y 15 extensiones en el navegador. Grammarly, ChatGPT Sidebar, Loom, un corrector de ortografía en español, un capturador de pantalla, quizás alguna herramienta de prospección comercial. Cada una de ellas tiene permiso para leer el contenido de las páginas que visita ese usuario. Incluyendo tu CRM. Incluyendo los correos con clientes. Incluyendo los contratos que se revisan en Google Drive.
Esto no es hipotético. Es la configuración por defecto en la mayoría de las empresas B2B chilenas que no han revisado este punto. Y con la proliferación de herramientas de inteligencia artificial integradas al navegador, el problema se intensificó de manera silenciosa durante los últimos dieciocho meses.
El riesgo no está en que “te hackeen”. Está en que los datos salen por canales completamente legítimos, con permiso explícito que nadie recuerda haber otorgado.
Por qué el navegador se convirtió en el punto más vulnerable de tu empresa
Durante años, la seguridad corporativa se concentró en el perímetro: firewall, antivirus, contraseñas. Eso tenía sentido cuando el trabajo ocurría en servidores internos. El problema es que desde 2020 en adelante, el trabajo ocurrió en el navegador.
Hoy, el navegador es la aplicación más crítica de cualquier empresa de servicios B2B. Desde ahí se accede al ERP, al correo, a las propuestas comerciales, a las videollamadas, a los reportes financieros. Y ese mismo navegador tiene instaladas extensiones que, por diseño, pueden leer todo lo que aparece en pantalla.
Las extensiones de navegador operan con un modelo de permisos que se diseñó pensando en utilidad, no en seguridad corporativa. Cuando instalas una extensión y aceptas que “acceda a todos los sitios web”, le estás entregando capacidad de lectura sobre cualquier página que abras en esa sesión. Eso incluye las páginas internas de tu sistema de gestión, los documentos que revisas en línea y los formularios que completas con información sensible.
El cambio importante de los últimos dos años es que este modelo ya existía, pero las extensiones de IA lo llevaron a otro nivel. Una extensión de IA no solo lee el contenido de la página: lo procesa, lo envía a servidores externos para generar respuestas, y en muchos casos lo usa para mejorar sus modelos. La diferencia entre una extensión que “lee” y una que “aprende de lo que lee” es relevante para cualquier empresa que maneje información de clientes, precios o procesos internos.
El problema real no es la extensión — es el modelo de permisos que nadie auditó
Existe una confusión frecuente en este tema: muchas empresas asumen que si la herramienta es de una marca reconocida, los datos están seguros. Grammarly, por ejemplo, tiene más de 30 millones de usuarios y una política de privacidad detallada. Pero eso no significa que sea apropiado que procese los correos donde tu equipo comercial negocia condiciones con un cliente.
El problema de fondo es estructural: las empresas B2B chilenas no tienen un proceso definido para evaluar qué extensiones pueden instalarse en los dispositivos corporativos. Cada persona instala lo que le resulta útil. El área de TI, cuando existe, gestiona antivirus y actualizaciones, pero raramente tiene visibilidad sobre las extensiones del navegador. Y la gerencia asume que si nadie ha reportado un incidente, no hay riesgo.
Tres patrones que el equipo de PTW encuentra con frecuencia al revisar la presencia digital de empresas B2B:
Primero, extensiones instaladas por un empleado hace dos años que siguen activas aunque esa persona ya no trabaje en la empresa. El navegador del reemplazo heredó el perfil sincronizado, incluidas las extensiones y sus permisos.
Segundo, herramientas de productividad con IA que el equipo comercial adoptó de forma autónoma porque “ahorra tiempo en los correos”. Nadie evaluó a qué servidores se envía el contenido procesado ni bajo qué jurisdicción legal opera esa empresa.
Tercero, extensiones de captura de leads o prospección que tienen acceso a LinkedIn, el correo y el CRM al mismo tiempo, cruzando datos de formas que ninguna política interna contempló.
Según un informe de Incogni publicado en 2024, el 48% de las extensiones más populares de Chrome solicitan permisos que van más allá de lo que necesitan para funcionar. No porque sean maliciosas, sino porque el modelo de desarrollo de extensiones incentiva pedir permisos amplios para garantizar compatibilidad.
Cómo evaluar el riesgo real en tu empresa: un proceso concreto
No se necesita un equipo de ciberseguridad para hacer una primera evaluación. Lo que sigue es un proceso que cualquier gerente puede iniciar esta semana.
Paso 1: Inventariar qué está instalado
El primer problema es la falta de visibilidad. Para resolverlo:
- En Chrome, abre
chrome://extensionsen cada computador corporativo relevante - En Edge, es
edge://extensions - Documenta nombre, versión y si está activa o no
- Presta atención especial a extensiones con permiso “Leer y modificar datos en todos los sitios web”
Si tu empresa tiene más de 20 personas, este proceso requiere coordinación con TI o con quienes administran los dispositivos. El objetivo de este paso no es eliminar nada todavía — es saber qué existe.
Paso 2: Clasificar por nivel de acceso y tipo de dato
Una vez que tienes el inventario, la pregunta relevante no es “¿esta extensión es mala?” sino “¿qué datos puede alcanzar esta extensión y qué hace con ellos?”
Checklist de evaluación por extensión:
- ¿Tiene acceso a todos los sitios o solo a dominios específicos?
- ¿Procesa contenido en el servidor del proveedor o localmente?
- ¿La empresa que la desarrolla tiene política de privacidad con retención de datos explícita?
- ¿Opera bajo legislación que establece obligaciones claras de protección de datos (GDPR europeo, por ejemplo)?
- ¿Está instalada en perfiles que acceden a información financiera o de clientes?
- ¿Fue instalada por alguien que ya no trabaja en la empresa?
Cualquier extensión que no pase esta revisión con respuestas claras merece ser desinstalada o reemplazada por una alternativa con políticas más transparentes.
Paso 3: Establecer una política mínima hacia adelante
El objetivo no es prohibir herramientas útiles. Es establecer un criterio claro antes de instalar, no después de que ya circularon datos.
Una política mínima viable incluye:
- Lista de extensiones aprobadas para perfiles que acceden a información sensible
- Proceso de solicitud para instalar herramientas nuevas en dispositivos corporativos
- Revisión trimestral del inventario de extensiones
- Desvinculación de perfiles de Chrome corporativos cuando un empleado sale de la empresa
Esto no requiere inversión tecnológica. Requiere criterio y consistencia.
Lo que esto tiene que ver con tu presencia digital corporativa
Puede parecer que este tema está desconectado del sitio web de tu empresa. No lo está.
Cuando PTW hace un diagnóstico digital de una empresa B2B, una parte del análisis cubre la base técnica sobre la cual opera la presencia digital: qué herramientas tienen acceso a qué datos, qué scripts de terceros corren en el sitio, qué información se procesa fuera del control de la empresa. El sitio web corporativo de una empresa B2B no es solo una vitrina — es un activo digital que procesa consultas, formularios de contacto y en muchos casos datos de clientes potenciales.
Muchas empresas invierten en un sitio bien desarrollado y luego instalan sin criterio plugins, herramientas de chat, scripts de analytics de terceros y widgets de IA que transmiten datos fuera de su control. El resultado es un activo digital técnicamente sólido pero con una base de privacidad débil.
El riesgo no es solo regulatorio. En Chile, la Ley 19.628 de protección de datos personales está en proceso de actualización y las obligaciones para empresas que manejan datos de terceros se están endureciendo. Empresas que hoy no tienen control sobre qué extensiones leen su correo corporativo o qué scripts procesan los datos de sus formularios web van a tener que ordenar ese panorama de todas formas.
El paso siguiente, si esto te aplica
Si al leer este artículo reconociste que tu empresa no tiene visibilidad sobre las extensiones instaladas en los navegadores del equipo comercial, o que el sitio web corporativo tiene scripts de terceros cuyo alcance nadie ha revisado, hay un punto de partida concreto.
El diagnóstico digital de PTW incluye una revisión de la base técnica de tu presencia digital: no solo velocidad y SEO técnico, sino qué herramientas de terceros tienen acceso a qué datos y dónde están los puntos de riesgo más relevantes para una empresa de tu tamaño. No es una auditoría de ciberseguridad — es una evaluación de criterio estratégico sobre cómo está operando tu activo digital corporativo.
Si el sitio web de tu empresa está trabajando con una base técnica que nadie ha revisado en dos años, ese es el lugar donde empezar.