Suplantación de IP - Falsificación de direcciones de origen en paquetes

Lectura de 2 min aprox.

La suplantación de IP (IP spoofing) es una técnica de ataque que falsifica la dirección de origen de los paquetes IP para ocultar la identidad del atacante o suplantar a un host de confianza. Se utiliza ampliamente para amplificar ataques DDoS y para eludir la autenticación basada en direcciones IP. El diseño del protocolo TCP/IP no exige la verificación de la dirección de origen, lo cual es lo que hace posible este ataque. A fecha de 2025, la tasa de adopción de BCP38 todavía no puede considerarse suficiente, y los ataques de amplificación DDoS que explotan la suplantación de IP siguen siendo una amenaza importante.

Qué le ocurre a la parte cuya dirección es suplantada

Un rasgo característico de los ataques que utilizan la suplantación de IP es que, para la organización cuya dirección es suplantada, el daño se manifiesta como una avalancha de respuestas a consultas que nunca envió. Cuando el atacante envía a servidores legítimos consultas con el origen suplantado como la dirección del objetivo, las respuestas llegan al objetivo, que no envió ninguna de esas consultas. Desde el punto de vista del objetivo, el otro extremo de la comunicación son servidores operados legítimamente y en el tráfico no queda rastro alguno del atacante, por lo que rastrear el origen no conduce hasta él. Además, como las respuestas proceden de numerosos servidores legítimos, bloquear un origen concreto no basta para afrontar la situación. Aunque los sistemas de la propia organización no hayan sido comprometidos en absoluto, esta puede acabar en el lado perjudicado por el mero hecho de que su dirección se haya usado para la suplantación; por eso las contramedidas contra este ataque no pueden completarse solo con el esfuerzo de una organización y se consideran un desafío de toda la red.

Cómo funciona la suplantación de IP

El atacante reescribe el campo de dirección de origen en la cabecera del paquete IP con un valor arbitrario antes de enviarlo. La comunicación basada en UDP es sin conexión, lo que facilita la suplantación, y se abusa de ella en ataques de reflexión DNS y de amplificación NTP. En la comunicación basada en TCP se requiere un protocolo de enlace de tres vías, por lo que la suplantación completa es difícil; sin embargo, resulta eficaz para ataques que no completan una conexión, como los ataques de inundación SYN.

Escenarios de ataque reales

En un ataque DDoS, se envían a un gran número de servidores DNS consultas DNS con la IP de origen suplantada como la dirección del objetivo. Las respuestas de los servidores DNS se concentran en la dirección suplantada del objetivo, saturando la red de este. En este ataque de amplificación, una consulta pequeña provoca una respuesta decenas de veces mayor, lo que permite al atacante generar más tráfico del que abarca su propio ancho de banda. También existe una técnica en la que, como fase previa a un ataque de intermediario, el atacante suplanta la IP de un host de confianza para introducirse en la red.

Detección y defensa

A nivel de ISP, el filtrado de entrada basado en BCP38/RFC 2827 puede bloquear los paquetes cuyas direcciones de origen quedan fuera del propio rango de la red. Configurar reglas antisuplantación en un cortafuegos y adoptar la seguridad de confianza cero para ofrecer una autenticación que no dependa únicamente de las direcciones IP también resultan eficaces. Proteger los equipos de red con contraseñas aleatorias robustas para impedir la manipulación de la configuración es asimismo una medida básica.