Seguridad DNS: prevén el secuestro y los ataques de suplantación

Lectura de 9 min aprox.

DNS (Domain Name System) es el pilar fundamental de internet, funcionando como la "guía telefónica de internet" que traduce nombres de dominio en direcciones IP. Sin embargo, DNS no fue diseñado con suficiente seguridad en mente cuando se creó en 1983, convirtiéndolo en un objetivo principal para los atacantes. Según el informe de Akamai de 2024, aproximadamente el 92% de las comunicaciones de malware pasan a través de DNS, y los ataques que explotan DNS continúan aumentando a partir de 2025. En particular, con la expansión de DNS over HTTPS (DoH), los ataques de túnel DNS que son difíciles de detectar con la monitorización de red tradicional han surgido como una nueva amenaza. Este artículo explica las principales amenazas contra DNS, cómo elegir un servicio DNS seguro y cómo aprovechar las funciones de filtrado.

Cómo funciona DNS y sus vulnerabilidades

Cuando introduces una URL en tu navegador, primero se envía una consulta a un resolver DNS, que devuelve la dirección IP correspondiente al nombre de dominio. Este proceso de resolución de nombres se realiza normalmente mediante comunicación UDP en texto plano sin cifrar (puerto 53), lo que crea un riesgo de interceptación y manipulación por parte de terceros en la ruta de comunicación - un tipo de ataque man-in-the-middle. Una sola carga de página web genera un promedio de 20 a 30 consultas DNS, y el hecho de que cada una se envíe en texto plano a menudo se pasa por alto.

El DNS predeterminado proporcionado por tu ISP (Proveedor de Servicios de Internet) está en posición de conocer todos los sitios que visitas. Desde la perspectiva de la privacidad, proteger la comunicación DNS es importante. Cabe señalar que incluso al acceder a sitios cifrados con HTTPS, si la consulta DNS en sí está en texto plano, "qué sitios visitaste" es completamente visible para terceros.

Secuestro de DNS

El secuestro de DNS es un ataque que manipula las respuestas DNS para redirigir a los usuarios a sitios falsos. Se lleva a cabo cuando los atacantes reescriben la configuración DNS del router o cambian la configuración DNS local mediante malware. A pesar de introducir una URL legítima, los usuarios son redirigidos a sitios de phishing, con el riesgo de que les roben contraseñas e información de tarjetas de crédito. Muchos routers domésticos todavía tienen la contraseña del panel de administración con los valores de fábrica, lo que constituye uno de los principales puntos de entrada para el secuestro de DNS. Cambia la contraseña de administración de tu router por una fuerte generada con passtsuku.com.

Suplantación de DNS - Envenenamiento de caché

El envenenamiento de caché DNS es un ataque que inyecta registros DNS falsificados en la caché de un resolver DNS. Una vez que el resolver almacena en caché un registro falsificado, todos los usuarios que dependen de ese resolver son redirigidos a sitios falsos. El ataque Kaminsky descubierto en 2008 explotó la debilidad de diseño de que los ID de transacción DNS son de solo 16 bits (65.536 posibilidades), demostrando al mundo la gravedad de esta vulnerabilidad. Aunque se han implementado mitigaciones como la aleatorización del puerto de origen, una solución fundamental requiere la adopción de DNSSEC.

Para comprender en profundidad el trasfondo técnico del envenenamiento de caché DNS,libros sobre protocolo DNS y defensa contra envenenamiento de caché (Amazon) es una referencia útil.

¿Qué deberías hacer realmente?

Fortalecer la seguridad DNS puede dar resultados significativos con solo cambios de configuración. Para principiantes, simplemente cambiar la configuración DNS de tu router o dispositivo a Cloudflare (1.1.1.2) puede bloquear el acceso a sitios de malware a nivel DNS. Para usuarios intermedios, habilita DNS over HTTPS (DoH) en tu navegador y cambia la contraseña de administración del router por una fuerte generada con passtsuku.com. Para hogares con niños, configurar el DNS del router a 1.1.1.3 de Cloudflare (bloqueo de malware + contenido para adultos) protege todos los dispositivos del hogar sin software adicional.

Cómo elegir un servicio DNS seguro

Compatibilidad con protocolos DNS cifrados

Para proteger la comunicación DNS, elige un servicio DNS que soporte DNS over HTTPS (DoH) o DNS over TLS (DoT). DoH cifra las consultas DNS sobre HTTPS (puerto 443), haciéndolas indistinguibles del tráfico web normal y, por lo tanto, difíciles de interceptar o censurar. Consulta la entrada del glosario sobre DoH para más detalles sobre su funcionamiento. DoT utiliza un puerto dedicado (853) para cifrar la comunicación DNS con TLS. Cuál elegir depende de tu entorno, pero DoT es más fácil de gestionar en redes corporativas, mientras que DoH tiene menos probabilidades de ser bloqueado por firewalls para uso personal.

Validación de DNSSEC

DNSSEC (DNS Security Extensions) es un mecanismo que detecta la manipulación de respuestas DNS adjuntando firmas digitales a las mismas. Usar un resolver DNS que soporte la validación DNSSEC puede reducir significativamente el riesgo de suplantación DNS. Cloudflare (1.1.1.1) y Google Public DNS (8.8.8.8) soportan la validación DNSSEC. Sin embargo, DNSSEC garantiza la autenticidad de las respuestas DNS pero no cifra la comunicación en sí. La protección de la privacidad requiere combinarlo con DoH o DoT. Según la encuesta de APNIC (2024), la tasa de validación DNSSEC a nivel mundial es de solo alrededor del 30%, y la adopción aún está en progreso.

Verificación de la política de privacidad

Al elegir un servicio DNS, verifica el período de retención de los registros de consultas y cómo se utilizan los datos. Cloudflare elimina los registros de consultas DNS en 24 horas y declara explícitamente que no se utilizan con fines publicitarios. Por otro lado, algunos servicios DNS gratuitos pueden usar los datos de consultas para publicidad o marketing. Un error común es pensar que "el DNS gratuito es lento", pero el 1.1.1.1 de Cloudflare tiene un tiempo de respuesta promedio de aproximadamente 11ms según las mediciones de DNSPerf, que es más rápido que muchos DNS proporcionados por ISP.

Aprovechamiento del filtrado DNS

Bloqueo de sitios de malware

El filtrado DNS es una tecnología que bloquea dominios de sitios conocidos de distribución de malware y sitios de phishing a nivel DNS. Cuando un navegador intenta acceder a estos dominios, el resolver DNS devuelve la dirección IP de una página de bloqueo o rechaza la resolución de nombres. El 1.1.1.2 de Cloudflare (bloqueo de malware) y el 1.1.1.3 (bloqueo de malware + contenido para adultos) permiten usar el filtrado DNS sin software adicional. Según los datos publicados por Cloudflare, el 1.1.1.2 bloquea miles de millones de solicitudes a dominios maliciosos por día.

Uso en redes domésticas

Al cambiar la configuración DNS de tu router a un servicio DNS con capacidad de filtrado, puedes aplicar el filtrado a todos los dispositivos de tu hogar de una vez. El filtrado DNS es una forma sencilla y efectiva de mejorar la seguridad de los dispositivos utilizados por los niños. No es necesario instalar software de seguridad en cada dispositivo individual, y todas las comunicaciones, incluidos los dispositivos IoT, pueden protegerse. Ten en cuenta que el filtrado DNS bloquea a nivel de dominio, por lo que no puede detectar contenido malicioso alojado en dominios legítimos (por ejemplo, malware colocado en almacenamiento en la nube legítimo). Recomendamos combinarlo con las funciones de seguridad del navegador, protección de firewall y la protección de endpoints. Al usar dispositivos fuera del hogar, como en Wi-Fi público, considera usar una VPN para mantener la protección a nivel DNS.

La relación entre la seguridad DNS y la protección de contraseñas

El objetivo final del secuestro y la suplantación de DNS es, en muchos casos, robar las credenciales de los usuarios. Cuando los usuarios redirigidos a una página de inicio de sesión falsa introducen sus contraseñas, esa información cae en manos de los atacantes. Al combinar la protección contra phishing con la seguridad DNS, puedes aumentar significativamente la resistencia a este tipo de ataques. Según el informe del Anti-Phishing Working Group (APWG) de 2024, aproximadamente el 36% de los ataques de phishing tienen como objetivo instituciones financieras, siendo la redirección basada en DNS una técnica principal.

Como enfoque de defensa en profundidad contra esta amenaza, combina las siguientes medidas. Primero, usa un servicio DNS seguro para prevenir la redirección a sitios falsos. Luego, genera contraseñas únicas para cada servicio con passtsuku.com para que, incluso si una contraseña se ve comprometida, el daño no se extienda a otros servicios. Además, configura la autenticación de dos factores para las cuentas importantes para añadir una capa de defensa que no pueda ser vulnerada solo con contraseñas.

Para el diseño y los métodos prácticos de defensa en profundidad,libros sobre defensa en profundidad y estrategias anti-phishing (Amazon) también es una referencia útil.

La seguridad DNS es una base para el uso seguro de internet, junto con la protección de contraseñas y las contramedidas contra el phishing. Comienza verificando la configuración DNS de tu router y dispositivos, y considera cambiar a un servicio que soporte DNS cifrado y filtrado. Además, fortalecer las contraseñas de cada servicio con passtsuku.com te permite construir una defensa robusta contra tanto los ataques DNS como los ataques de contraseñas.

Lo que puedes hacer ahora mismo

1. Cambia la configuración DNS de tu router a 1.1.1.2 de Cloudflare (bloqueo de malware) para proteger todos los dispositivos de tu hogar
2. Cambia la contraseña del panel de administración de tu router por una fuerte de 16 o más caracteres generada con passtsuku.com (dejar la predeterminada es peligroso)
3. Habilita DNS over HTTPS (DoH) en tu navegador (Firefox: Configuración → Privacidad y seguridad → Habilitar DNS over HTTPS)
4. Establece contraseñas únicas para cada servicio con passtsuku.com para prepararte contra el phishing mediante secuestro de DNS

Preguntas frecuentes

¿Qué tipos de ataques explotan el DNS?

Los más comunes son el envenenamiento de caché DNS (inyectar respuestas falsas para redirigir a sitios maliciosos), el secuestro de DNS (alterar la configuración DNS para interceptar tráfico) y el túnel DNS (ocultar datos en el tráfico DNS para evadir firewalls).

¿Qué es el filtrado DNS? ¿Pueden usarlo los particulares?

El filtrado DNS bloquea el acceso a dominios peligrosos a nivel de DNS. Los particulares pueden usarlo gratuitamente simplemente cambiando la configuración DNS de su router o dispositivo a Cloudflare (1.1.1.2) o Quad9 (9.9.9.9).

¿Cuáles son los beneficios de usar DNS over HTTPS (DoH)?

Las consultas DNS se cifran, reduciendo enormemente el riesgo de que los ISP o terceros espíen los dominios que visita. Se puede activar fácilmente en la configuración de los principales navegadores y es especialmente efectivo para la privacidad en Wi-Fi público.