Hay un fallo en Windows que lleva meses circulando y que muy poca gente ha corregido. No es un bulo de foros. Microsoft lo confirmó y afecta directamente a las contraseñas que tienes guardadas en Chrome y Edge. La trampa es tan sencilla que da rabia: entras en un enlace manipulado y el atacante se lleva tus credenciales sin que tú descargues absolutamente nada. Ni un .exe, ni un instalador, ni un aviso de SmartScreen. Nada.
Si después de leer esto sigues con las contraseñas guardadas en el navegador y sin haber actualizado Windows, el problema no es Microsoft. Es tuyo.
El fallo vive en la forma en que Windows gestiona ciertos protocolos y enlaces personalizados del sistema. Cuando un atacante prepara una página maliciosa, puede forzar que el navegador entregue datos cifrados que deberían estar protegidos por el propio sistema operativo. Es decir: el ladrón no hackea Chrome, hackea la caja fuerte donde Chrome guarda las llaves.
Lo grave es que el vector de ataque es puro phishing de un solo clic. Te llega un enlace por WhatsApp, Telegram, correo o incluso un comentario en redes. Pinchas. En menos de dos segundos, un script silencioso extrae el archivo de contraseñas y lo manda a un servidor externo. No hay ventana emergente, no hay ralentización, no hay señal de alarma.
Microsoft lo catalogó como vulnerabilidad crítica y publicó el parche correspondiente. El detalle que casi nadie menciona: solo están protegidos los equipos con las actualizaciones aplicadas. Si tienes Windows Update pausado desde hace tres meses, estás en el grupo de riesgo.
Por qué Windows 10 y Windows 11 son el objetivo perfecto
Los dos sistemas comparten el mismo motor de gestión de credenciales heredado de versiones anteriores. Chrome y Edge, al estar construidos sobre Chromium, delegan parte del cifrado de sus contraseñas al propio Windows a través de la API de protección de datos. Es cómodo para el usuario, pero crea un punto único de fallo.
En un equipo con Windows 10 sin actualizar, cualquier malware que llegue por un enlace puede leer el archivo Login Data del perfil de Chrome sin pedir permisos adicionales. En Windows 11 pasa exactamente lo mismo si no tienes aplicado el parche de seguridad correspondiente. Da igual lo moderno que sea tu PC o la RAM que tengas: si el sistema está desactualizado, eres un blanco fácil.
Y ojo, el error no discrimina entre usuarios domésticos y empresas. De hecho, las redes corporativas con cientos de equipos sin gestión centralizada de parches son el paraíso para este tipo de robo de contraseñas guardadas en el navegador.
Cómo comprobar en 30 segundos si estás expuesto
Antes de alarmarte, verifica tu versión real de Windows. No te fíes de lo que crees que tienes instalado.
- Pulsa Windows + R en tu teclado.
- Escribe winver y dale a Enter.
- Mira el número que aparece. Necesitas 22H2 o superior y, sobre todo, el parche acumulativo de seguridad más reciente.
Si te sale una versión antigua o no estás seguro de cuándo fue la última actualización, ve directamente a Configuración → Windows Update y pulsa Buscar actualizaciones manualmente. No esperes a que el sistema lo haga solo, porque en muchos equipos las actualizaciones están pospuestas semanas por políticas de ahorro de ancho de banda.
Después de instalar, reinicia. Sí, reinicia de verdad. Muchos parches de este tipo no se aplican hasta que el kernel vuelve a cargarse. Si te saltas el reinicio, sigues vulnerable aunque Windows te diga que todo está al día.
La solución de fondo: deja de guardar contraseñas en Chrome y Edge
Actualizar tapa este agujero concreto, pero no elimina el problema estructural. Guardar contraseñas en el navegador es cómodo y peligroso a partes iguales. El navegador es la aplicación que más expuesta está a la web, así que es el peor sitio posible para almacenar tus credenciales.
La alternativa sensata es un gestor de contraseñas externo. Bitwarden es gratuito, open source y funciona en Windows, Android, iOS y cualquier navegador mediante extensión. 1Password o KeePassXC son otras opciones sólidas. La diferencia clave: el gestor cifra las contraseñas con una clave maestra que nunca sale de tu dispositivo, así que aunque alguien explote un fallo de Windows, se encuentra con un archivo inservible.
Si te da pereza migrar cientos de contraseñas, hazlo por fases. Empieza por el correo principal, la banca y las redes sociales. Esas tres categorías son las que arruinan la vida cuando caen en malas manos.
Qué hacer si crees que ya te han robado las contraseñas
No entres en pánico, pero actúa rápido. El primer paso es cambiar la contraseña de tu correo principal desde un dispositivo distinto al sospechoso, preferiblemente el móvil con datos móviles. Después, cierra todas las sesiones activas en ese correo y activa la verificación en dos pasos con una app tipo Aegis, Ente Auth o Google Authenticator.
Revisa también los inicios de sesión recientes en tu cuenta de Google y Microsoft. Ambas permiten ver desde qué IP y país se ha accedido. Si ves algo raro, expulsa esa sesión y cambia la contraseña inmediatamente.
Y por último, revisa tus contraseñas en haveibeenpwned.com. Si tu correo aparece en filtraciones recientes, cambia todo lo que comparta esa misma clave. Reciclar contraseñas es el error que convierte un susto en una catástrofe.
El error de Windows que casi nadie está corrigiendo en 2026
Este tipo de vulnerabilidad no es un caso aislado. Cada pocos meses aparece un fallo similar en Windows que afecta al almacenamiento de credenciales del navegador. La diferencia entre quien se salva y quien no suele ser una sola cosa: tener Windows Update activo y no fiarlo todo a la memoria del navegador.
Ahora mismo, si tienes Chrome o Edge con contraseñas guardadas y no has actualizado en las últimas semanas, estás jugando a la ruleta rusa con tus cuentas. Tarda cinco minutos en comprobar la versión, instalar el parche y mover tus claves a un gestor. Es la diferencia entre seguir leyendo sobre hackeos o ser el protagonista de uno.
