{"id":1125,"date":"2026-06-09T11:25:31","date_gmt":"2026-06-09T11:25:31","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/09\/el-nuevo-ataque-frost-permite-a-los-sitios-web-rastrear-que-sitios-y-aplicaciones-abre-a-traves-de-ssd-timing-cyberdefensa-mx\/"},"modified":"2026-06-09T11:25:31","modified_gmt":"2026-06-09T11:25:31","slug":"el-nuevo-ataque-frost-permite-a-los-sitios-web-rastrear-que-sitios-y-aplicaciones-abre-a-traves-de-ssd-timing-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/09\/el-nuevo-ataque-frost-permite-a-los-sitios-web-rastrear-que-sitios-y-aplicaciones-abre-a-traves-de-ssd-timing-cyberdefensa-mx\/","title":{"rendered":"El nuevo ataque FROST permite a los sitios web rastrear qu\u00e9 sitios y aplicaciones abre a trav\u00e9s de SSD Timing \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Un sitio web malicioso puede determinar qu\u00e9 sitios visita y qu\u00e9 aplicaciones abre, utilizando nada m\u00e1s que JavaScript y la sincronizaci\u00f3n de su SSD. El ataque, denominado HELADA<\/b>no necesita c\u00f3digo nativo, extensi\u00f3n ni solicitud de permiso.<\/p>\n

Abres la p\u00e1gina, dejas la pesta\u00f1a all\u00ed y observa la unidad en busca de contenci\u00f3n en segundo plano.<\/p>\n

Los investigadores de la Universidad Tecnol\u00f3gica de Graz lo construyeron y lo describieron en un nuevo papel<\/a> programado para aparecer en DIMVA 2026. Abusa de una funci\u00f3n de almacenamiento presente en todos los principales navegadores de escritorio, y el canal de sincronizaci\u00f3n subyacente funciona tanto en macOS como en Linux.<\/p>\n

Los ataques de sincronizaci\u00f3n de SSD no son nuevos. El a\u00f1o pasado el mismo grupo public\u00f3 Unidad de derrame secreto<\/a>que lee el comportamiento del usuario en un disco observando c\u00f3mo las lecturas se ralentizan cuando algo m\u00e1s lo est\u00e1 usando. El problema era que necesitaba c\u00f3digo nativo en la m\u00e1quina, a trav\u00e9s de una interfaz de bajo nivel como io_uring de Linux. FROST elimina ese requisito. Se ejecuta dentro del entorno limitado del navegador, lo que convierte un ataque local en uno remoto.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Ya no es necesario estar en la m\u00e1quina para sacarlo.<\/p>\n

El mismo laboratorio de Graz ya lo ha hecho antes. Su ataque SnailLoad dedujo los sitios y v\u00eddeos que una v\u00edctima carg\u00f3 \u00fanicamente a partir de la latencia de la red, sin ning\u00fan JavaScript.<\/p>\n

C\u00f3mo funciona el ataque FROST<\/h2>\n

La forma de entrar es la Sistema de archivos privado de origen<\/a>u OPFS, una funci\u00f3n de almacenamiento que los navegadores agregaron en 2023 para que las aplicaciones web como los editores en el navegador y los IDE puedan mantener archivos en el disco. OPFS le da a cada origen su propia porci\u00f3n protegida del sistema de archivos y, debido a que esa porci\u00f3n est\u00e1 aislada, omite la solicitud de permiso que una p\u00e1gina normalmente necesita para acceder a sus archivos. Sin di\u00e1logo, sin clic. Un sitio puede simplemente empezar a escribir.<\/p>\n

Normalmente, el sistema operativo oculta la sincronizaci\u00f3n del disco detr\u00e1s del cach\u00e9 de la p\u00e1gina, ofreciendo lecturas repetidas desde la memoria para que nunca toquen la unidad.<\/p>\n

FROST soluciona esto creando un archivo m\u00e1s grande que la RAM de la m\u00e1quina. El cach\u00e9 no puede contenerlo todo, por lo que las lecturas siguen llegando al SSD. En Chrome y Safari, OPFS puede crecer hasta el 60% del espacio en disco, mucho m\u00e1s que suficiente; Firefox limita cada origen a un nivel m\u00e1s bajo, aunque un atacante puede distribuir la carga entre m\u00faltiples or\u00edgenes para superarlo.<\/p>\n

\"\"<\/a><\/div>\n

Luego, el c\u00f3digo del atacante lee fragmentos aleatorios de 4 kB de ese archivo en un bucle y cronometra cada lectura con performance.now(). Los navegadores reducen sus temporizadores de forma predeterminada para dificultar este tipo de medici\u00f3n, pero el atacante vuelve a agudizar la resoluci\u00f3n activando el aislamiento entre or\u00edgenes, lo que puede hacer libremente en su propia p\u00e1gina.<\/p>\n

Cuando abres un sitio o inicias una aplicaci\u00f3n en el mismo disco, esa actividad compite con las lecturas del atacante y el tiempo cambia considerablemente. Una red neuronal entrenada en esos rastros identifica el sitio o la aplicaci\u00f3n.<\/p>\n

La precisi\u00f3n es la parte inc\u00f3moda. En una Mac, frente a los 50 sitios web principales, FROST identific\u00f3 el sitio visitado con una puntuaci\u00f3n F1 del 88,95 % en una prueba de mundo cerrado y se mantuvo en 86,95 % en una prueba de mundo abierto que agreg\u00f3 300 sitios que nunca hab\u00eda visto. Para diez aplicaciones macOS nativas preinstaladas, alcanz\u00f3 el 95,83%. El equipo tambi\u00e9n construy\u00f3 un canal encubierto con la misma se\u00f1al, moviendo datos desde una aplicaci\u00f3n nativa colaboradora a la p\u00e1gina maliciosa a 661,63 bit\/s en Linux y 719,27 bit\/s en macOS a trav\u00e9s de OPFS. El ataque nativo fue m\u00e1s r\u00e1pido en su mejor momento, pero son muchos datos para el c\u00f3digo atrapado dentro de la zona de pruebas del navegador.<\/p>\n

Si bien el canal de sincronizaci\u00f3n tambi\u00e9n funciona en Linux, el equipo ejecut\u00f3 el clasificador completo solo en macOS, por lo que esos n\u00fameros de huellas digitales son un resultado de macOS. FROST tambi\u00e9n s\u00f3lo detecta actividad en el mismo disco que su archivo OPFS.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Una computadora port\u00e1til de un solo disco pone todo en ese disco; una estaci\u00f3n de trabajo con varias unidades oculta todo lo que se ejecuta en una unidad separada, aunque los inicios de aplicaciones que tocan el directorio de inicio tienden a filtrarse de todos modos.<\/p>\n

Qu\u00e9 puedes hacer<\/h2>\n

No mucho, por ahora. A Google, Mozilla y Apple se les inform\u00f3 antes de la publicaci\u00f3n. El equipo de Chromium de Google no trata las huellas dactilares como una vulnerabilidad de seguridad. Apple lo consider\u00f3 fuera de alcance, pero dej\u00f3 espacio para una mitigaci\u00f3n m\u00e1s adelante. Mozilla lo reconoci\u00f3 y no envi\u00f3 nada. No existe CVE ni evidencia p\u00fablica de que la t\u00e9cnica se haya utilizado en la naturaleza.<\/p>\n

Eso deja las defensas d\u00e9biles. La medici\u00f3n solo se ejecuta mientras la p\u00e1gina del atacante est\u00e1 abierta, por lo que cerrar la pesta\u00f1a finaliza la ejecuci\u00f3n. Observar el almacenamiento de su navegador en busca de un archivo de varios gigabytes inexplicable es otra se\u00f1al, aunque los navegadores no hacen que el uso de OPFS sea f\u00e1cil de ver.<\/p>\n

En Linux, los sistemas que ejecutan perfil-sync-daemon, una utilidad que mantiene el perfil del navegador en la RAM, est\u00e1n protegidos incidentalmente contra la versi\u00f3n sin clic, porque las escrituras OPFS nunca llegan al SSD. La variante m\u00e1s d\u00e9bil, en la que una p\u00e1gina utiliza un cuadro de di\u00e1logo de selecci\u00f3n de archivos para que usted mismo seleccione un archivo grande, todav\u00eda funciona.<\/p>\n

Las soluciones que realmente lo cerrar\u00edan recaen en los fabricantes de navegadores: limitar el tama\u00f1o de OPFS para que el archivo quepa en la memoria y no genere contenci\u00f3n, acelerar los temporizadores de alta resoluci\u00f3n mientras OPFS est\u00e1 en uso o colocar un mensaje de permiso delante de \u00e9l. Cada uno cuesta algo en velocidad o usabilidad, lo cual es parte de por qu\u00e9 ninguno de ellos ha sucedido.<\/p>\n

El verdadero desacuerdo es si un sitio web que aprende silenciosamente lo que usted hace en su propia m\u00e1quina es un error o una caracter\u00edstica que funciona seg\u00fan lo dise\u00f1ado. La verdadera preocupaci\u00f3n de los investigadores es estructural: los navegadores siguen dando a las aplicaciones web un acceso casi nativo al hardware, y el acceso casi nativo trae consigo fugas casi nativas. FROST es una API. El patr\u00f3n es lo que hay que tener en cuenta.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Un sitio web malicioso puede determinar qu\u00e9 sitios visita y qu\u00e9 aplicaciones abre, utilizando nada m\u00e1s que JavaScript y la sincronizaci\u00f3n de su SSD. El ataque, denominado HELADAno necesita c\u00f3digo nativo, extensi\u00f3n ni solicitud de permiso. Abres la p\u00e1gina, dejas la pesta\u00f1a all\u00ed y observa la unidad en busca de contenci\u00f3n en segundo plano. Los […]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[2984,786,181,24,2983,52,169,265,918,1734,266,2985,2986,76,234],"class_list":["post-1125","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-abre","tag-aplicaciones","tag-ataque","tag-cyberdefensa-mx","tag-frost","tag-los","tag-nuevo","tag-permite","tag-que","tag-rastrear","tag-sitios","tag-ssd","tag-timing","tag-traves","tag-web"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1125","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1125"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1125\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1125"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1125"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1125"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}