Cómo detectar y prevenir el secuestro de direcciones IP

Ante una anomalía de ruta, fija primero los hechos

Anota el prefijo afectado, el ASN de origen, la hora, los lugares desde los que se observa, los síntomas del servicio y la fuente de cada dato. El equipo debe separar un cambio de origen de una caída de la aplicación, una alteración del DNS, un equipo comprometido o un problema registral.

Compara varios puntos de observación con los routers, proveedores y registros de servicio. Aísla lo que esté comprometido según el incidente y conserva las pruebas sin retrasar la contención necesaria.

La corrección debe coordinarse con el operador y el upstream que puedan cambiar el anuncio. NRS Shield ayuda a entender el riesgo de los recursos y la gobernanza, y un poder de representación (POA) es la forma de dar a NRS el mandato de actuar por tu red, con el alcance y la duración que fijes.

Por qué el control de las rutas afecta al negocio

Un servicio en Internet depende de que otras redes sepan llegar a su prefijo. Un anuncio de origen incorrecto o malicioso puede cortar conexiones, desviar tráfico, exponer datos y dejar a los clientes sin acceso.

El recorrido es entender el secuestro, detectarlo, prevenirlo, responder y convertir la experiencia en una práctica permanente. Una observación externa es una pista, no una sentencia.

Qué es el secuestro de IP

El secuestro de IP suele consistir en un anuncio no autorizado que desvía el tráfico destinado a una organización. BGP intercambia información de enrutamiento; si una red acepta un origen o camino erróneo, el tráfico puede inspeccionarse, modificarse, descartarse o llegar al servicio equivocado.

Un origen falso, una configuración incorrecta, un router comprometido y un problema de registro pueden producir síntomas parecidos. Que un prefijo aparezca desde un ASN desconocido exige comprobarlo, pero no demuestra por sí solo un ataque ni control legítimo del prefijo.

Cómo detectar un secuestro

Vigila los anuncios BGP, el ASN de origen, la ruta AS y los cambios de prefijos. BGPStream y RIPE NCC ayudan a construir una cronología que debe compararse con routers, avisos de proveedores, traceroutes, registros y actividad de cuentas.

Una ruta desconocida, un prefijo más específico, más latencia, pérdida de paquetes o usuarios enviados a un lugar inesperado son señales para investigar. Compara varios lugares y momentos: un único punto puede estar incompleto o reflejar un cambio normal.

Cómo reducir la exposición

Mantén filtros de prefijos precisos en el borde de la red y una política clara de peering. Asigna responsables para las ROA, la validación RPKI y las alertas, y comprueba que las autorizaciones siguen coincidiendo con el despliegue real.

RPKI puede ayudar a identificar un origen incompatible con una autorización válida si las ROA son correctas y la red aplica el resultado. DNSSEC autentica datos DNS, pero no protege directamente el enrutamiento BGP. Ninguna de estas medidas elimina todo el riesgo.

Qué hacer cuando ocurre

Avisa al ISP, al upstream y a los pares que puedan actuar; incluye prefijo, ASN, cronología y observaciones. Puedes retirar un anuncio de una sesión BGP que controlas, pero no retirar directamente el anuncio de otro operador.

Conserva rutas observadas, registros, configuraciones, cambios de cuentas e impactos. Coordina con el RIR responsable si hay un problema de registro y denuncia según los hechos y la jurisdicción. Sigue observando después de la recuperación.

Conclusión

El secuestro de IP es un riesgo serio de seguridad del enrutamiento. La respuesta debe unir observación, controles técnicos, colaboración entre operadores y conservación de pruebas. Ninguna herramienta garantiza por sí sola la seguridad de un prefijo ni identifica automáticamente al autor.

Convierte los filtros, las ROA, los contactos y los planes de continuidad en parte de la operación diaria. Trata los recursos, sus autorizaciones y su cadena de responsabilidad como activos de continuidad.

Fuentes

NRS publicó este artículo el 18 de abril de 2025 y lo actualizó el 4 de noviembre de 2025. Las referencias cubren capas técnicas distintas.

Versión en inglés · RIPE NCC: validación del origen BGP · MANRS: seguridad del enrutamiento · BGPStream: datos de rutas · RFC 4033: DNSSEC · RFC 4271: BGP-4

Convertir el incidente en capacidad de gobernanza

NRS Shield es donde los operadores convierten el riesgo individual en fuerza colectiva, y el poder es la forma de dar a NRS la autoridad para actuar por tu red.

Conocer NRS Shield · POA y representación · Acciones actuales