Cómo detectar y prevenir el secuestro de direcciones IP

Ante una anomalía de ruta, fija primero los hechos

Anota el prefijo afectado, el ASN de origen, la hora, los lugares desde los que se observa, los síntomas del servicio y la fuente de cada dato. El equipo debe separar un cambio de origen de una caída de la aplicación, una alteración del DNS, un equipo comprometido o un problema registral.

Compara varios puntos de observación con los routers, proveedores y registros de servicio. Aísla lo que esté comprometido según el incidente y conserva las pruebas sin retrasar la contención necesaria.

La corrección debe coordinarse con el operador y el upstream que puedan cambiar el anuncio. NRS Shield ayuda a entender el riesgo de los recursos y la gobernanza; una POA es una decisión independiente sobre representación y debe definir alcance, duración, poderes y revocación.

Por qué el control de las rutas afecta al negocio

Un servicio en Internet depende de que otras redes sepan llegar a su prefijo. Un anuncio de origen incorrecto o malicioso puede cortar conexiones, desviar tráfico, exponer datos y dejar a los clientes sin acceso.

El artículo mantiene el recorrido de la fuente: entender el secuestro, detectarlo, prevenirlo, responder y convertir la experiencia en una práctica permanente. Una observación externa es una pista, no una sentencia.

Qué es el secuestro de IP

El secuestro de IP suele consistir en un anuncio no autorizado que desvía el tráfico destinado a una organización. BGP intercambia información de enrutamiento; si una red acepta un origen o camino erróneo, el tráfico puede inspeccionarse, modificarse, descartarse o llegar al servicio equivocado.

Un origen falso, una configuración incorrecta, un router comprometido y un problema de registro pueden producir síntomas parecidos. Que un prefijo aparezca desde un ASN desconocido exige comprobarlo, pero no demuestra por sí solo un ataque ni control legítimo del prefijo.

Cómo detectar un secuestro

Vigila los anuncios BGP, el ASN de origen, la ruta AS y los cambios de prefijos. BGPStream y RIPE NCC ayudan a construir una cronología que debe compararse con routers, avisos de proveedores, traceroutes, registros y actividad de cuentas.

Una ruta desconocida, un prefijo más específico, más latencia, pérdida de paquetes o usuarios enviados a un lugar inesperado son señales para investigar. Compara varios lugares y momentos: un único punto puede estar incompleto o reflejar un cambio normal.

Cómo reducir la exposición

Mantén filtros de prefijos precisos en el borde de la red y una política clara de peering. Asigna responsables para las ROA, la validación RPKI y las alertas, y comprueba que las autorizaciones siguen coincidiendo con el despliegue real.

RPKI puede ayudar a identificar un origen incompatible con una autorización válida si las ROA son correctas y la red aplica el resultado. DNSSEC autentica datos DNS, pero no protege directamente el enrutamiento BGP. Ninguna de estas medidas elimina todo el riesgo.

Qué hacer cuando ocurre

Avisa al ISP, al upstream y a los pares que puedan actuar; incluye prefijo, ASN, cronología y observaciones. Puedes retirar un anuncio de una sesión BGP que controlas, pero no retirar directamente el anuncio de otro operador.

Conserva rutas observadas, registros, configuraciones, cambios de cuentas e impactos. Coordina con el RIR responsable si hay un problema de registro y denuncia según los hechos y la jurisdicción. Sigue observando después de la recuperación.

Conclusión

El secuestro de IP es un riesgo serio de seguridad del enrutamiento. La respuesta debe unir observación, controles técnicos, colaboración entre operadores y conservación de pruebas. Ninguna herramienta garantiza por sí sola la seguridad de un prefijo ni identifica automáticamente al autor.

Convierte los filtros, las ROA, los contactos y los planes de continuidad en parte de la operación diaria. Trata los recursos, sus autorizaciones y su cadena de responsabilidad como activos de continuidad.

Fuente y contexto editorial

NRS publicó el artículo el 18 de abril de 2025 y registró una modificación el 4 de noviembre de 2025. Se conservan sus cinco temas y su conclusión; esta edición aclara los límites de retirar anuncios BGP, RPKI, DNSSEC y los indicios de detección. Las referencias cubren capas distintas y no demuestran por sí solas derechos legales, atribución ni un plazo de recuperación.

Artículo original de NRS · RIPE NCC: validación del origen BGP · MANRS: seguridad del enrutamiento · BGPStream: datos de rutas · RFC 4033: DNSSEC · RFC 4271: BGP-4

Convertir el incidente en capacidad de gobernanza

Después del incidente, revisa registros, contratos, autorizaciones, controles y planes de continuidad. NRS Shield es una vía de apoyo; delegar representación exige una decisión separada mediante POA. Leer, pedir ayuda o unirse a la comunidad no crea un mandato. Las acciones actuales distinguen los asuntos abiertos del archivo.

Conocer NRS Shield · POA y representación · Acciones actuales