Suplantación de DNS - Envenenamiento de caché y redirección

Lectura de 2 min aprox.

La suplantación de DNS (DNS spoofing) es un ataque que falsifica las respuestas del DNS (Domain Name System) para redirigir a los usuarios a un sitio falso preparado por un atacante en lugar del sitio legítimo. También conocido como envenenamiento de caché DNS, conecta a los usuarios a un sitio falso aunque introduzcan la URL correcta, lo que lo hace más difícil de detectar que el phishing. En 2025, la adopción de DNS over HTTPS (DoH) avanza, pero el envenenamiento de caché DNS dentro de las redes corporativas se sigue reportando como un método de ataque eficaz.

Qué ocurre cuando se envenena un servidor DNS interno

Lo temible de la suplantación de DNS es que los usuarios son conducidos a un sitio falso aunque escriban la URL correcta y sigan su rutina habitual. En particular, si se envenena la caché de un servidor DNS interno, todos los dispositivos de la organización que dependen de ese servidor se ven afectados, y pantallas de uso cotidiano, como la página de inicio de sesión de un sistema de negocio, pueden ser sustituidas por un sitio falso. Como la URL legítima sigue apareciendo en la barra de direcciones, los usuarios apenas tienen pistas para detectar la anomalía, y las credenciales que introducen conducen directamente al robo. Cuanto más tarde se detecte la manipulación, más se extiende el impacto por la organización, por lo que la defensa contra este ataque no debe depender de la atención del usuario, sino de mecanismos como la verificación y el cifrado de las respuestas DNS.

El flujo de la suplantación de DNS

Técnicas de suplantación de DNS

Los atacantes utilizan el envenenamiento de caché para inyectar una dirección IP falsa en la caché de un servidor DNS, el secuestro de DNS para interceptar las respuestas DNS en la red local y técnicas que reescriben la configuración DNS de un dispositivo mediante malware. El ataque Kaminsky descubierto en 2008 explotó una vulnerabilidad fundamental del protocolo DNS y afectó a toda la internet.

Escenarios de daño reales

Al conectarse a una red Wi-Fi pública, hay casos en que un atacante falsifica las respuestas DNS para redirigir al usuario a un sitio falso de banca en línea y robar sus credenciales de acceso. Como la URL correcta aparece en la barra de direcciones del navegador, al usuario le resulta difícil notar que es un sitio falso. No obstante, con una conexión HTTPS se muestra una advertencia por la discordancia del certificado, por lo que comprobar el certificado SSL/TLS es importante. El artículo sobre seguridad de DNS explica las medidas en detalle.

Medidas de protección

La introducción de DNSSEC (DNS Security Extensions) permite verificar criptográficamente la autenticidad de las respuestas DNS. El uso de DNS over HTTPS (DoH) o DNS over TLS (DoT) cifra las propias consultas DNS para evitar su manipulación. A nivel individual, es eficaz usar un servidor DNS de confianza (Google Public DNS, Cloudflare DNS) y emplear además una VPN en el Wi-Fi público. Protege el panel de administración de tu router con una contraseña aleatoria robusta para evitar la manipulación de la configuración DNS.