Number Resource Society
Fraude con direcciones IP: cómo responder y recuperar el control
Cómo distinguir el incidente, conservar pruebas, coordinar la recuperación y proteger la continuidad del negocio, y qué puede hacer NRS por tu red.
En esta página
Si el incidente está en curso, empieza por identificarlo
Anota prefijos, ASN, horas y servicios afectados. El equipo de red y seguridad debe distinguir equipos comprometidos, anuncios de rutas no autorizados, cambios en el registro y fraude en alquileres o transferencias. Una anomalía no demuestra por sí sola un fraude.
Conserva registros, observaciones de rutas y documentos de la operación sin retrasar la contención urgente. Aísla los sistemas afectados según el diagnóstico y activa las medidas de continuidad. Reiniciar todo, suspender todos los servicios o cambiar de direcciones no sirve como receta universal.
Los problemas de rutas requieren contactar con los operadores implicados; los de registro, con el RIR correspondiente. Si hay indicios de delito, utiliza además el canal de denuncia aplicable. No puedes retirar directamente el anuncio BGP de otra red. Corrige la causa antes de pedir que se revise un bloqueo.
Cuando el problema de una IP afecta a todo el negocio
El correo que deja de llegar, los clientes sin conexión o un bloque usado por terceros pueden convertirse rápidamente en pérdidas y desconfianza. La respuesta debe unir análisis técnico, comprobación de derechos y pruebas. Cambiar una dirección no basta.
El recorrido abarca la detección, la contención, la denuncia, la reputación, la prevención y el apoyo. Las medidas concretas deben decidirlas quienes conocen la red y los servicios afectados.
Qué hacer si has sido víctima de un fraude con direcciones IP.
Distinguir mecanismos y consecuencias
La suplantación de IP falsea el origen de los paquetes. El secuestro BGP implica anuncios de rutas no autorizados y puede desviar tráfico. Los bloques utilizados sin permiso también pueden servir para spam y phishing. Son problemas relacionados, pero no equivalentes.
La escasez de IPv4 favorece alquileres engañosos, vendedores que no tienen los derechos que ofrecen y reventas de bloques con un historial problemático. Comprueba la identidad de la contraparte, el registro y la cadena de autorización, no solo el precio.
Para proveedores de nube, comercios y operadores, los efectos pueden incluir interrupciones, exposición de datos y pérdida de clientes.
Señales que merecen una investigación
Rutas inesperadas, un ASN desconocido, nuevas inclusiones en listas de bloqueo y un aumento de quejas son motivos para comprobar lo ocurrido. La latencia, los paquetes perdidos o una ubicación geográfica distinta son indicios; no prueban por sí solos un secuestro.
Cruza las observaciones de BGPStream o RIPE con traceroutes, registros de servicios y actividad de las cuentas. Compara prefijos, origen y tiempos con una situación conocida. Que una comunicación maliciosa parezca salir de tu dirección no demuestra que la haya enviado tu sistema.
Los escaneos previos, el caso Micfo y las irregularidades que solo aparecen al revender recursos enseñan lo mismo: revisa periódicamente el inventario y sus cambios, sin esperar a que un cliente o un comprador descubra la anomalía.
Contener el incidente sin provocar otra interrupción
Reúne a los responsables de red, seguridad y negocio. Aísla los sistemas comprometidos según el diagnóstico y conserva las pruebas necesarias. Las actualizaciones, los cortafuegos y el análisis de tráfico con herramientas como Wireshark deben formar parte de una respuesta coordinada.
Conseguir otra IP dinámica en una conexión doméstica no recupera un bloque empresarial secuestrado. Solo puedes modificar las configuraciones y anuncios bajo tu autoridad. Documenta los anuncios externos anómalos y coordina su corrección con el operador responsable y su proveedor de tránsito.
Suspender una API, el correo u otros servicios exige valorar exposición y continuidad. No cierres toda la operación por defecto. Utiliza el plan de contingencia cuando proceda y comprueba después que los usuarios pueden volver a realizar sus tareas.
Cada problema tiene un canal de comunicación
Las solicitudes falsas, los cambios no autorizados en datos del registro y los fraudes de transferencia se comunican al RIR que gestiona los recursos. El procedimiento de ARIN no es un buzón general para spam, phishing o intrusiones.
Las rutas se corrigen con los operadores; los posibles delitos siguen los canales de denuncia competentes. IC3 recibe denuncias de ciberdelincuencia. En Inglaterra, Gales e Irlanda del Norte, Report Fraud sustituyó a Action Fraud; en Escocia corresponde acudir a Police Scotland. El apoyo del NCSC no sustituye la denuncia policial.
Prepara una cronología con prefijos, ASN, registros, capturas de bloqueos, traceroutes, cambios de cuentas, contratos, pagos y comunicaciones. Guarda los originales y documenta quién los obtuvo y transmitió. Recuperación técnica, corrección registral e investigación penal no son el mismo trámite.
Recuperar la reputación después de eliminar la causa
Identifica quién está bloqueando y por qué. Corrige el tráfico abusivo, las cuentas comprometidas o la configuración que originó el problema; documenta lo hecho. Después solicita una revisión por el canal de cada lista, como el de Spamhaus.
Comprueba la configuración de correo, incluidos SPF y DKIM, y vigila rechazos y quejas. Los datos de Talos u otros servicios ofrecen perspectivas distintas, no una puntuación universal. En direcciones alquiladas, revisa también el historial y las obligaciones del proveedor.
Cambiar de bloque puede dejar intacta una infección o trasladar el problema. El tiempo de recuperación depende de la causa y de cada servicio implicado.
El papel de NRS en la defensa de los operadores
Un inventario actualizado, documentos de derechos y pruebas fechadas permiten explicar qué ha ocurrido y qué se solicita. Los recursos de NRS y NRS Shield ofrecen un punto de partida para entender los riesgos y explorar el apoyo disponible.
Alquileres justos, registros trazables, avisos a otras redes, auditorías y RPKI cumplen funciones distintas. La validación del origen depende de los ROA y de las políticas que apliquen los operadores; no bloquea automáticamente cualquier ataque.
NRS es una organización sin ánimo de lucro que habla solo por los intereses de sus miembros y anima a la comunidad a mantenerse alerta. La gobernanza equitativa es su foco constante; ante un fraude, las herramientas y el apoyo a los miembros de NRS ayudan a reducir la revictimización y a seguir el rastro de los recursos.
Prevenir la siguiente incidencia
Mantén al día inventario, contactos del RIR y dominios usados en las cuentas de contacto. Protege los accesos administrativos y forma a los equipos para reconocer suplantaciones, phishing y autorizaciones falsas.
Revisa ROA, filtros de rutas y acuerdos de interconexión con el equipo técnico, y vigila los anuncios posteriores.
Examina proveedores y contratos, prepara alternativas y repite las auditorías. Diversificar recursos puede reducir ciertas dependencias, pero añade complejidad. Un registro distribuido puede mejorar la trazabilidad sin convertir datos falsos o mandatos inexistentes en derechos válidos.
Tres principios para hacer frente al fraude
Verificar, vigilar y responder con rapidez: son las tres bases para hacer frente al fraude de direcciones.
La conclusión práctica es que un recurso valioso atrae fraudes y su recuperación puede exigir coordinación técnica, contractual y jurídica. Documentar y buscar ayuda competente es más útil que apoyarse en una garantía sin fuente.
Aprender de casos sin prometer el mismo desenlace
La comunicación del Departamento de Justicia estadounidense de 2021 sobre Micfo describe sociedades ficticias, obtención y venta de derechos sobre direcciones y declaraciones de culpabilidad. Justifica revisar documentos y contrapartes, no presumir que toda disputa será delito o acabará igual.
Para valorar el riesgo, apóyate en casos documentados públicamente, como el caso Micfo citado arriba.
En un incidente real importa establecer cuándo empezó, quién puede corregirlo, qué derechos se acreditan y cómo se mantiene el servicio. El acompañamiento no sustituye la investigación ni la decisión de las entidades competentes.
Qué puede resolver cada tecnología
La automatización puede detectar cambios de rutas, ubicación o comportamiento, pero necesita interpretación humana. La geolocalización no demuestra titularidad y una puntuación no acredita fraude.
RPKI para el origen de rutas, DNSSEC para autenticar datos DNS y los registros de transacciones resuelven problemas diferentes. Ninguno acredita por sí solo la legalidad de una transferencia.
Preguntas frecuentes
¿Qué se considera fraude con direcciones IP?
Puede incluir fingir derechos para vender o alquilar recursos, modificar inscripciones sin permiso o engaños vinculados al secuestro de rutas. Distingue suplantación, registro y BGP antes de decidir qué hacer.
¿Cómo sé si mis direcciones están afectadas?
Contrasta anuncios, tráfico, rechazos y listas de bloqueo con el estado habitual y los registros de las cuentas. Las herramientas de observación aportan indicios; también hay que descartar fallos de configuración o del proveedor.
¿A quién debo comunicarlo?
Al operador para las rutas, al RIR para los registros y a la autoridad competente si hay indicios de delito. IC3 y los servicios británicos tienen ámbitos propios. Una sola comunicación no resuelve todos los frentes.
¿Se puede recuperar un bloque secuestrado?
Puede ser posible, pero restaurar rutas, cuentas, derechos de registro y reputación son tareas distintas. El resultado depende de pruebas, competencias y procedimientos; no existe un plazo universal ni una solución basada solo en reiniciar el router.
¿Cómo ayuda NRS a prevenir el fraude?
Mediante conocimiento de riesgos, defensa de derechos y acceso a vías de apoyo. Cuando quieras que NRS vote o decida en nombre de tu red, un poder de representación (POA) le da ese mandato.
Fuentes
Ann Yong publicó este artículo en inglés el 18 de noviembre de 2025 y lo actualizó el 5 de marzo de 2026.
NRS: sobre RIPE · NRS: ARIN y las transferencias · ARIN: denuncias de fraude de recursos · IC3: denuncias y pruebas · Report Fraud: cambio de servicio británico · RIPE NCC: validación del origen BGP · Spamhaus: respuesta a secuestros de red · Justicia de EE. UU.: caso Micfo en 2021 · RFC 4033: DNSSEC · Spamhaus: revisión de bloqueos
Llevar los problemas del operador al debate sobre las reglas
NRS Shield es donde los operadores convierten el riesgo individual en fuerza colectiva, y el poder es la forma de dar a NRS la autoridad para actuar por tu red.
Conocer NRS Shield · POA y representación · Acciones actuales