Microsoft Edge desactiva ya de forma automática las notificaciones de las webs que empujan a sus usuarios hacia estafas con falsos avisos de virus. La función llegó con Edge 156, publicada en el canal estable el 22 de octubre de 2026, y Microsoft la explicó el 2 de noviembre en el blog oficial del navegador: cuando Microsoft Defender SmartScreen o el bloqueador de scareware detectan una estafa que ha llegado a través de una notificación, Edge corta los avisos de la web que la envió.
Las claves de las notificaciones fraudulentas que bloquea Edge en 30 segundos
- Edge 156, disponible en el canal estable desde el 22/10/2026, desactiva las notificaciones de una web cuando SmartScreen o el bloqueador de scareware detectan una estafa enviada por esa vía.
- Al volver a abrir el navegador aparece una barra que lo explica, y el bloqueo se puede deshacer desde la configuración.
- Las peticiones de permiso suman una opción para bloquear y denunciar la web con su dirección y una captura.
- No es una vulnerabilidad: no hay CVE ni parche urgente, pero conviene tener Edge actualizado.
El problema que intenta frenar Microsoft es conocido para cualquiera que haya pulsado «Permitir» sin leer. Muchas páginas fraudulentas piden permiso para mostrar notificaciones con excusas como demostrar que no se es un robot. Si el usuario acepta, la web gana un canal permanente para lanzar alertas falsas de virus o de seguridad que aparecen en el escritorio aunque la pestaña original ya esté cerrada, y cada aviso vuelve a llevar a la estafa.
Rob Franco y Lu Huang, del equipo de Edge, cuentan en el blog que detectaron el patrón al revisar los informes que los propios usuarios envían desde el bloqueador de scareware: buena parte de las estafas empezaba con una notificación web. Esos avisos no solo molestaban, sino que devolvían una y otra vez al usuario a páginas que SmartScreen o el bloqueador ya eran capaces de identificar. La conclusión fue cortar el origen, es decir, las notificaciones de la web que manda a la víctima hacia el fraude.
Qué cambia en Edge 156 y qué no cambia
Según Microsoft, desde el despliegue de Edge 156 el navegador desactiva de forma automática las notificaciones de un sitio cuando una estafa que ha llegado por esa vía es detectada por SmartScreen (el filtro de reputación de webs y descargas de Microsoft) o por el bloqueador de scareware, el detector que analiza en el propio equipo las páginas a pantalla completa que imitan avisos del sistema. La siguiente vez que se abre Edge aparece una barra de información que explica lo ocurrido. Si el usuario cree que el bloqueo es un error, puede revisar la lista de webs afectadas y desbloquearlas desde la configuración.
La segunda novedad actúa antes de que empiece el abuso. En la ventana en la que una web pide permiso para enviar notificaciones, el menú situado junto al botón de bloquear incluye ahora una opción para bloquear e informar (en inglés, «Block and report»). El informe puede adjuntar la dirección de la página y una captura de pantalla, de modo que SmartScreen reciba pruebas antes incluso de que llegue la primera alerta falsa.
Microsoft aporta algunas cifras sobre el bloqueador de scareware, que lleva algo más de un año activado por defecto en los equipos que cumplen los requisitos: según la compañía, protege de forma directa a decenas de miles de usuarios al día frente a estafas nuevas y, al alimentar a SmartScreen, a millones más. Durante la fase de pruebas, cada informe sirvió para proteger a unos 50 usuarios adicionales. Son datos de la propia empresa que no se han verificado de forma independiente. En redes-sociales.com ya se contó cómo Microsoft amplió la disponibilidad del bloqueador de scareware a finales de 2025.
Conviene matizar el alcance. No se trata de un fallo de seguridad corregido: no hay CVE (el identificador público de vulnerabilidades), no figura en el catálogo de vulnerabilidades explotadas de la CISA, la agencia estadounidense de ciberseguridad, y no procede de Chromium. Tampoco es una barrera infalible. El bloqueo automático solo actúa cuando SmartScreen o el bloqueador de scareware detectan la estafa, así que una web que todavía no esté identificada puede seguir enviando avisos. Además, las notas oficiales de la versión 156.0.4314.42 para empresas no mencionan esta función de forma explícita; solo hablan de mejoras en la interfaz de permisos de los sitios. Y el aviso del centro de mensajes de Microsoft 365 sobre esta novedad (RM568366) situaba su disponibilidad general en noviembre de 2026, por lo que es posible que no aparezca a la vez en todos los equipos.
Cómo comprobar la versión y revisar las notificaciones en Edge
La protección depende de tener Edge 156 o posterior. La última actualización del canal estable en el momento de escribir esto es la 156.0.4314.58, del 30 de octubre de 2026. Estos son los pasos, con los nombres de menú que usa la ayuda oficial de Microsoft en español:
- Comprobar la versión. Pulsar en «Configuración y más» (los tres puntos de la esquina superior derecha) y entrar en «Ayuda y comentarios» › «Acerca de Microsoft Edge». También se puede escribir edge://settings/help en la barra de direcciones o ir a «Configuración» › «Acerca de Microsoft Edge». Al abrir esa página, Edge busca actualizaciones.
- Actualizar y reiniciar. Si hay una versión nueva, seleccionar «Descargar e instalar» cuando aparezca y, después, «Reiniciar». La actualización no se aplica hasta que el navegador se reinicia. En la misma página conviene activar «Descargar e instalar actualizaciones automáticamente» si está disponible.
- Confirmar que el bloqueador de scareware está activo. En «Configuración y más» › «Configuración», elegir «Privacidad, búsqueda y servicios» y luego «Seguridad», donde está el conmutador del bloqueador de scareware. Microsoft lo activa por defecto en equipos con más de 2 GB de RAM y al menos 5 núcleos; en equipos más modestos hay que activarlo a mano, y por debajo de 1 GB de RAM o 2 núcleos no está disponible.
- Revisar qué webs pueden enviar notificaciones. Escribir edge://settings/privacy/sitePermissions/allPermissions/notifications en la barra de direcciones (o buscar «notificaciones» en la configuración). Ahí aparecen los sitios permitidos y los bloqueados. Lo prudente es retirar el permiso a cualquier web que no se reconozca y desbloquear solo las que se sepa que son legítimas.
- Cortar una notificación sospechosa. Si llega un aviso dudoso, usar el menú «…» de la propia notificación para desactivar las de ese sitio. Microsoft advierte de que pulsar otros botones de la alerta falsa puede abrir más ventanas emergentes.
Por qué las notificaciones web se han vuelto un anzuelo
Las notificaciones del navegador nacieron para avisar de un mensaje nuevo o de una cita, pero tienen una característica que las hace atractivas para los estafadores: una vez concedido el permiso, la web puede mostrar avisos fuera de la página y con un aspecto parecido al de las alertas del sistema operativo. Microsoft explica que Edge lleva años bloqueando notificaciones no deseadas por miles de millones, y que la novedad de ahora consiste en combinar la detección en el propio equipo, los informes de los usuarios y la reputación en la nube de SmartScreen.
El esquema encaja con las estafas de falso soporte técnico, en las que un aviso alarmante empuja a llamar a un número o a dar acceso remoto al ordenador. Es la misma lógica que se vio en la estafa en Teams que suplantaba al soporte técnico de Microsoft. La regla más útil sigue siendo sencilla: ninguna web legítima necesita que se acepten sus notificaciones para demostrar que el visitante no es un robot.
Preguntas frecuentes
¿Qué versión de Edge bloquea las notificaciones de webs fraudulentas?
La función llegó con Edge 156, publicada en el canal estable el 22 de octubre de 2026. La última actualización estable a 30 de octubre es la 156.0.4314.58, y el despliegue puede no llegar a todos los equipos a la vez.
¿Cómo se desbloquean las notificaciones de una web bloqueada por error?
Desde edge://settings/privacy/sitePermissions/allPermissions/notifications, donde figuran los sitios con notificaciones bloqueadas y se pueden desbloquear uno a uno.
¿Hay que instalar un parche de seguridad urgente?
No. Es una función de protección nueva, no la corrección de una vulnerabilidad, y no tiene CVE asociado. Aun así, conviene mantener Edge actualizado y reiniciarlo para recibirla.
¿El bloqueador de scareware está activado en todos los ordenadores?
No. Según Microsoft, viene activado por defecto en equipos con más de 2 GB de RAM y al menos 5 núcleos. En equipos menos potentes se activa a mano en «Privacidad, búsqueda y servicios» › «Seguridad», y por debajo de 1 GB de RAM o 2 núcleos no está disponible.
Fuentes:
- Microsoft Edge Blog: Client-side threat detection: how Scareware blocker uncovered malicious notification abuse
- Microsoft Learn: notas de la versión del canal estable de Microsoft Edge
- Soporte de Microsoft: Evitar estafas en línea con el bloqueador de malware (scareware) en Microsoft Edge
- Soporte de Microsoft: Configuración de actualización de Microsoft Edge
- Centro de mensajes de Microsoft 365, RM568366 (copia pública)
- Cyber Security News: Microsoft Edge Now Automatically Blocks Malicious Websites Sending Fake Virus Alert Notifications
