Una conexión puede seguir funcionando con normalidad y, aun así, estar pasando por el equipo equivocado. Eso es lo que hace tan peligroso al arp poisoning: altera la relación entre direcciones IP y MAC dentro de una red local para colocar al atacante entre dos dispositivos. En este artículo explico cómo funciona el ataque, qué puede llegar a conseguir, cómo detectarlo en una auditoría de hacking ético y qué medidas reducen de verdad el riesgo.
La manipulación de ARP puede convertir una red local en un punto de interceptación
- ARP relaciona una dirección IPv4 con la dirección MAC del dispositivo correspondiente.
- El atacante intenta asociar su propia MAC con la IP de la puerta de enlace o de otro equipo.
- El resultado habitual es una posición de intermediario, con posibilidad de observar o modificar tráfico.
- HTTPS limita mucho el impacto, pero no corrige una red mal segmentada ni protege protocolos sin cifrado.
- La defensa más sólida combina Dynamic ARP Inspection, segmentación, monitorización y cifrado.
Qué es el envenenamiento de la caché ARP
ARP, o Address Resolution Protocol, permite que un dispositivo encuentre la dirección MAC asociada a una dirección IPv4 dentro de su red local. Cuando un ordenador necesita comunicarse con la puerta de enlace, pregunta quién tiene una IP concreta y guarda la respuesta durante un tiempo en su caché ARP.
El problema es que ARP nació sin un mecanismo fuerte para autenticar esas respuestas. Un equipo puede aceptar información no solicitada y actualizar su tabla, incluso cuando no había enviado una pregunta previa. Ahí aparece el envenenamiento: el atacante envía respuestas falsas para que otros dispositivos crean que su tarjeta de red corresponde a una IP legítima.
En una situación típica, la víctima recibe el mensaje de que la IP del router pertenece a la MAC del atacante. El router puede recibir una falsificación similar sobre la IP de la víctima. Si las dos tablas quedan alteradas, el atacante se sitúa entre ambos extremos y debe reenviar el tráfico para evitar que la conexión se interrumpa.
Por qué funciona dentro de la red local
La técnica actúa en la capa 2, es decir, en el segmento Ethernet o Wi-Fi donde los dispositivos se ven directamente. Por eso no suele bastar con conocer la dirección IP de una víctima desde Internet. El atacante normalmente necesita estar conectado a la misma red, controlar un equipo ya presente o aprovechar una infraestructura inalámbrica o virtual mal aislada.
El alcance también depende de la configuración. Una VLAN bien separada, los puertos correctamente protegidos y una política de acceso con autenticación dificultan mucho el ataque. En cambio, una red plana con muchos dispositivos desconocidos ofrece un entorno especialmente favorable.
Cómo se desarrolla un ataque de intermediario
El proceso no consiste simplemente en “escuchar la red”. Primero hay que modificar las asociaciones IP-MAC que utilizan los dispositivos. Después, el atacante intenta mantener ese estado el tiempo suficiente para observar, redirigir o alterar comunicaciones sin provocar una caída evidente.
- Descubrimiento: se identifican la víctima, la puerta de enlace y otros equipos del segmento.
- Suplantación: se envían respuestas ARP que relacionan una IP legítima con una MAC controlada por el atacante.
- Interposición: el tráfico empieza a pasar por el equipo intermedio.
- Reenvío o manipulación: los paquetes pueden reenviarse para mantener la conexión, inspeccionarse o modificarse.
- Persistencia: las entradas falsas deben mantenerse, porque las cachés caducan o pueden corregirse.
En una auditoría autorizada, esta secuencia se estudia en un laboratorio aislado o durante una prueba con alcance escrito. No recomiendo experimentar en una red de oficina, una Wi-Fi pública o la conexión de otra persona. El tráfico puede interrumpirse, exponerse información sensible y generarse un incidente aunque la intención sea educativa.
Qué puede ver o modificar el atacante
El impacto depende principalmente del cifrado y del protocolo utilizado. Las credenciales enviadas por HTTP, FTP, Telnet o servicios internos sin cifrar pueden quedar expuestas con facilidad. También pueden observarse metadatos, destinos, tiempos de conexión y patrones de actividad, aunque el contenido viaje protegido.
HTTPS, SSH y una VPN bien configurada reducen mucho la utilidad de la interceptación. Sin embargo, no hacen desaparecer todos los riesgos. Un usuario puede aceptar una advertencia de certificado, una aplicación puede utilizar HTTP internamente o el atacante puede intentar degradar una comunicación mal configurada. La protección real depende de que los clientes validen certificados y de que los servicios no permitan alternativas inseguras.
Qué síntomas delatan una manipulación ARP
El envenenamiento no siempre provoca una alarma visible. De hecho, los ataques más cuidados intentan mantener la conectividad para pasar desapercibidos. Aun así, hay señales que, combinadas, justifican una investigación.
- La MAC de la puerta de enlace cambia sin una modificación documentada del equipo de red.
- Varios dispositivos parecen asociar la misma MAC con IP diferentes.
- Aparecen avisos de conflicto de IP o cortes breves que afectan a varios usuarios.
- Se observan respuestas ARP no solicitadas o cambios frecuentes en las tablas.
- El tráfico hacia el router muestra una latencia anómala o una ruta indirecta.
- Un sistema de monitorización registra un aumento inusual de solicitudes y respuestas ARP.
Para investigar, comparo la caché ARP de varios equipos con la información del switch y con la dirección MAC conocida de la puerta de enlace. En Linux puede revisarse la tabla de vecinos y en Windows la caché ARP. Una sola discrepancia no demuestra un ataque, porque los cambios legítimos de infraestructura también existen, pero una alteración simultánea en varios hosts merece atención inmediata.
La captura de tráfico ayuda a distinguir entre una renovación normal y una actividad sospechosa. Un sensor de red puede alertar ante múltiples respuestas para la misma IP, cambios de MAC en el gateway o patrones de intermediario. En mi experiencia, la correlación entre registros del switch, DHCP y los equipos finales resulta mucho más fiable que depender de una única alerta.
Cómo prevenir el envenenamiento ARP en una empresa
No existe un botón universal que resuelva el problema. La mejor defensa combina controles del switch, segmentación y protección de las comunicaciones. El objetivo es impedir que cualquier dispositivo pueda afirmar libremente que es la puerta de enlace.
Dynamic ARP Inspection y DHCP snooping
Dynamic ARP Inspection valida los mensajes ARP comparándolos con asociaciones legítimas de IP y MAC. En muchos entornos se apoya en DHCP snooping, que registra qué dirección fue asignada a cada puerto. Si un equipo envía una respuesta incoherente, el switch puede descartarla.
Esta medida funciona especialmente bien en redes gestionadas, pero requiere una configuración cuidadosa. Los servidores con IP fija, impresoras, cámaras y dispositivos que no usan DHCP necesitan asociaciones estáticas o excepciones controladas. Activar la función sin revisar esos casos puede bloquear equipos legítimos.
Segmentación y control de acceso
Separar usuarios, servidores, invitados, dispositivos IoT y sistemas críticos reduce el alcance de un incidente. Las VLAN no sustituyen a un firewall, pero limitan quién comparte el mismo dominio de broadcast y, por tanto, quién puede intentar manipular ARP directamente.
También conviene aplicar autenticación de acceso a la red, como 802.1X cuando la infraestructura lo permita, junto con seguridad de puertos y desactivación de tomas no utilizadas. Una red con control sobre quién conecta cada dispositivo ofrece muchas menos oportunidades que una red abierta con equipos desconocidos.
Lee también: Security Onion - ¿Vale la pena para tu ciberseguridad?
Cifrado de extremo a extremo
TLS, SSH y las VPN no impiden que alguien intente convertirse en intermediario, pero hacen que la posición sea mucho menos útil. Deben acompañarse de una validación correcta de certificados y de políticas que bloqueen protocolos antiguos o sin cifrado.
Para una empresa, la prioridad práctica es eliminar servicios inseguros y proteger la administración con SSH o HTTPS. En una red doméstica, usar sitios con HTTPS, mantener actualizado el router y evitar redes Wi-Fi abiertas ya reduce una parte importante del riesgo, aunque no sustituye a una arquitectura profesional.
ARP poisoning frente a otras técnicas de suplantación
Estas técnicas suelen aparecer juntas en informes de seguridad, pero no son equivalentes. La diferencia principal está en qué mecanismo se manipula y en qué punto de la comunicación se produce el desvío.
| Técnica | Qué manipula | Alcance habitual | Riesgo principal |
|---|---|---|---|
| Envenenamiento ARP | Relación entre IP y MAC | Segmento local IPv4 | Intercepción y modificación del tráfico |
| Suplantación DNS | Respuesta de nombres de dominio | Clientes que usan el resolvedor afectado | Redirección hacia servidores falsos |
| DHCP spoofing | Configuración entregada al cliente | Red local | Asignar gateway o DNS controlados |
| Evil twin | Punto de acceso Wi-Fi | Usuarios cercanos a la red falsa | Conexión voluntaria a una infraestructura maliciosa |
La confusión más frecuente es pensar que cualquier redirección es ARP spoofing. Si el atacante cambia el servidor DNS, el problema está en otro nivel. Si crea una Wi-Fi con el mismo nombre, hablamos de un punto de acceso falso. La distinción importa porque cada técnica exige controles y evidencias diferentes.
MITRE ATT&CK clasifica esta actividad como una sub-técnica de adversary-in-the-middle y la relaciona con el acceso a credenciales, la recopilación de información y la manipulación de datos. Esa clasificación es útil para documentar una auditoría, pero no sustituye al análisis concreto de la red afectada.
Qué hacer si sospechas de un ataque
La primera reacción no debería ser borrar pruebas ni reiniciar todos los equipos sin criterio. Hay que confirmar si el cambio procede de una intervención legítima, de una sustitución de hardware o de una actividad no autorizada.
- Aísla el segmento afectado si existe riesgo de exposición activa, siguiendo el procedimiento de respuesta de la organización.
- Registra las tablas ARP, las MAC observadas, la hora, los puertos del switch y los avisos de conflicto.
- Comprueba el DHCP, la configuración del gateway y los cambios recientes en switches y puntos de acceso.
- Identifica el puerto o dispositivo que anuncia asociaciones sospechosas, sin confrontar ni manipular el equipo de forma improvisada.
- Restablece las asociaciones legítimas y rota credenciales si pudieron viajar por protocolos sin cifrado.
- Revisa certificados, sesiones activas y registros de autenticación para detectar accesos anómalos.
Limpiar la caché ARP puede recuperar temporalmente la conectividad, pero no elimina la causa. Si el dispositivo malicioso sigue conectado, volverá a enviar información falsa. Por eso la respuesta debe terminar con una corrección del acceso a la red y una revisión de los controles del switch.
En España, una organización también debe valorar si el incidente ha afectado a datos personales y activar sus procedimientos internos de seguridad y protección de datos. La decisión depende de la información expuesta, las evidencias disponibles y las obligaciones aplicables, así que conviene involucrar al responsable de seguridad o al delegado de protección de datos cuando corresponda.
La lección práctica para una red más segura
El protocolo ARP es sencillo y útil, pero confía demasiado en la honestidad de los dispositivos del mismo segmento. Por eso no conviene tratarlo como una vulnerabilidad aislada. La combinación de segmentación, inspección en el switch, monitorización y cifrado es mucho más resistente que cualquier medida individual.
Para una prueba de hacking ético, la pregunta más valiosa no es solo si la red permite una suplantación, sino qué podría conseguir alguien después. Si el tráfico sensible está cifrado, los puertos están controlados, las alertas funcionan y las VLAN limitan el movimiento, el ataque deja de ser una intrusión silenciosa y se convierte en una señal detectable con un impacto mucho menor.
