Qué es un ataque de intermediario

Un ataque de intermediario (Man-in-the-Middle Attack, MITM) es una técnica en la que un atacante se interpone entre las dos partes que se comunican e intercepta o altera el contenido de la comunicación. Su característica es que resulta difícil de advertir, porque la víctima cree estar comunicándose directamente con el interlocutor legítimo.

Para que este ataque funcione, el atacante debe insertarse en algún punto de la ruta de comunicación. El Wi-Fi público, el ARP spoofing y la suplantación de DNS son métodos distintos con un mismo fin: apoderarse de un punto de retransmisión. Desde que el cifrado con TLS/SSL se generalizó, situarse en la ruta ya no basta para leer el contenido de la comunicación. Lo que sigue dejando margen al ataque es que quede algún tramo sin cifrar en la ruta, que la aplicación omita la verificación del certificado y que el usuario ignore el aviso de certificado y continúe con la conexión.

Principales métodos de ataque

Los ataques de intermediario se apoyan en unos pocos métodos representativos.

ARP spoofing: se envían paquetes ARP (Address Resolution Protocol) falsificados en la red local para sustituir la dirección MAC del interlocutor por la del atacante. ARP no dispone de ningún mecanismo que compruebe si la respuesta proviene realmente de quien dice provenir (RFC 826, una especificación de 1982), de modo que el tráfico del equipo cuya caché ha sido alterada pasa a circular por el atacante
DNS spoofing: se falsifican las respuestas de DNS para que un nombre de dominio legítimo se resuelva a la dirección IP del servidor del atacante. El usuario cree estar accediendo a la URL correcta, pero es conducido a un sitio falso
SSL stripping: método que degrada una conexión HTTPS a HTTP. El atacante se comunica por HTTP con el cliente y por HTTPS con el servidor, y así intercepta el tráfico que no está cifrado. En los dominios cuya información de HSTS viene incorporada en la lista de precarga del navegador, HTTPS se impone desde la primera conexión, por lo que este método resulta mucho más difícil de aplicar
Punto de acceso Wi-Fi falso: en cafeterías, aeropuertos y lugares similares se instala un punto de acceso falso con un nombre parecido al legítimo, de manera que el tráfico de quien se conecta pase por el equipo del atacante. También se conoce como ataque Evil Twin. El contenido de las sesiones protegidas con HTTPS no puede leerse, pero sí observarse metadatos como los dominios de destino, y el montaje sirve de apoyo para el tráfico sin cifrar y para la conducción a sitios falsos
Secuestro BGP: se abusa del protocolo de enrutamiento de internet (BGP) para desviar hacia la red del atacante el tráfico dirigido a determinadas direcciones IP. BGP nunca incluyó un mecanismo para verificar el origen de los anuncios de rutas que recibe, así que el mismo tipo de desvío ocurre también por errores de configuración y no solo de forma intencionada. Como contramedida se ha ido desplegando la validación del origen de las rutas mediante RPKI (RFC 6480, RFC 6811)

Medidas de defensa e importancia del cifrado

La defensa frente a los ataques de intermediario tiene como eje reunir a la vez el cifrado de la comunicación y la autenticación del interlocutor.

Cifrado de comunicaciones

Uso de TLS 1.3: TLS 1.3 (estandarizado en el RFC 8446 de 2018, con el RFC 9846 de julio de 2026 como edición revisada) mejora el proceso de negociación y ofrece una resistencia elevada a los ataques de degradación. TLS 1.0 y TLS 1.1 tienen su uso prohibido por el RFC 8996 (2021), de modo que desactivarlos es el punto de partida
HSTS (HTTP Strict Transport Security): definido en el RFC 6797 (2012), indica al navegador que en adelante se conecte siempre por HTTPS. Impide el SSL stripping, pero la primera conexión, anterior a la recepción de esa indicación, no queda protegida, y ese hueco se cubre registrando el dominio en la lista de precarga que incorporan los navegadores
Uso de VPN: en redes que no son de confianza, como el Wi-Fi público, la VPN envuelve todo el tráfico en un túnel cifrado. Lo que queda protegido, sin embargo, es solo el tramo hasta el proveedor de la VPN, y se trata también de una decisión que traslada la confianza del administrador de la red a ese proveedor

Autenticación y verificación

Certificate pinning: la aplicación se configura para confiar únicamente en un certificado o una clave pública determinados, con lo que fracasa la interceptación mediante certificados falsos. En el ámbito de los navegadores, HPKP (RFC 7469, 2015) conllevaba el riesgo de dejar el propio sitio inaccesible si se configuraba mal, y Chrome lo eliminó en la versión 72 (enero de 2019). El pinning sigue siendo realista donde un mismo desarrollador controla tanto el software distribuido como el destino al que se conecta, como en las aplicaciones móviles
Autenticación mutua con criptografía de clave pública: se implanta TLS mutuo (mTLS), en el que no solo el servidor sino también el cliente se autentica con certificado, de forma que la autenticación es bidireccional
Implementación de DNSSEC: mecanismo definido en el RFC 4033 y los documentos posteriores, que añade firmas digitales a las respuestas DNS para poder verificar su origen y si han sido alteradas. No cifra el contenido de DNS, y las respuestas falsas solo se rechazan cuando coinciden la firma en el lado de la zona y la validación en el lado de la consulta

Medidas a nivel de red

Dynamic ARP Inspection (DAI): función presente en los conmutadores, que verifica la legitimidad de los paquetes ARP y previene el ARP spoofing
Autenticación 802.1X: exige la autenticación del dispositivo al conectarse a la red y evita la conexión de equipos no autorizados

Medidas prácticas de autoprotección en Wi-Fi público

El Wi-Fi público se convierte con facilidad en punto de apoyo de los ataques de intermediario porque cualquiera puede entrar en la misma red y porque los equipos de la ruta puede prepararlos un tercero. Desde que HTTPS es lo predeterminado, las situaciones en las que el contenido de la comunicación se lee tal cual son limitadas. Aun así, metadatos como los dominios a los que se conecta siguen siendo visibles desde la ruta, y el tráfico sin cifrar, la acción de saltarse un aviso de certificado y la conducción a dominios imitados permanecen como huecos. Con una idea clara de qué queda protegido y qué no, convertir en hábito las siguientes medidas reduce las ocasiones en que se entra en contacto con esos huecos restantes.

Mantener la VPN siempre activa: al cifrar la comunicación con VPN, lo único que ven los equipos de la ruta es un túnel cifrado, así que ni el contenido ni el destino de la comunicación se leen aunque se conecte a un punto de acceso falso
Desactivar la conexión automática: desactivar la conexión automática al Wi-Fi en el teléfono y el portátil para no acabar en una red que no se ha elegido
Detenerse siempre ante un aviso de certificado: el aviso indica de forma directa que puede haber otro actor interpuesto en la ruta, así que no conviene añadir una excepción y seguir adelante. A la inversa, el candado en la barra de direcciones señala que la comunicación está cifrada, no que el dominio sea el auténtico
Usar un método de autenticación que no funcione en un dominio imitado: como aplicación de la idea del intermediario existe el phishing de adversario en el medio (AiTM), en el que el atacante coloca un proxy inverso ante el sitio real y retransmite al instante las credenciales y la cookie de sesión que se introducen. Las contraseñas de un solo uso se retransmiten sin más, de modo que lo que sirve es un método cuya firma no se valida en un dominio falso, como las passkeys (FIDO2), donde la clave queda vinculada al dominio del sitio legítimo
Evitar operaciones sensibles: realizar la banca en línea y los inicios de sesión en cuentas importantes desde una red de confianza
Prestar atención a las fugas de DNS: incluso con la VPN en uso, las consultas DNS pueden enviarse por rutas sin cifrar. Conviene comprobarlo con una prueba de fuga de DNS

Un ataque de intermediario se establece cuando se sigue comunicando sin haber confirmado que el interlocutor es auténtico. Cifrar para proteger el contenido, usar los certificados para confirmar con quién se habla y detenerse cuando aparece un aviso. Que estén los tres es lo que marca la diferencia.

Para obtener más información sobre este tema, consulte Riesgos del Wi-Fi público - 7 formas de mantenerte seguro en redes gratuitas.

Conceptos erróneos comunes

Si se usa HTTPS, los ataques de intermediario son imposibles: HTTPS es una defensa poderosa cuando se implementa correctamente, pero los ataques de intermediario pueden tener éxito en entornos HTTPS cuando las aplicaciones ignoran la verificación de certificados, se usan versiones antiguas de TLS o los usuarios ignoran las advertencias de certificados.
Los ataques de intermediario solo se pueden ejecutar estando en la misma Wi-Fi: El ARP spoofing es un ataque dentro de la red local, pero el DNS spoofing y el secuestro BGP se pueden ejecutar de forma remota. También existen muchos métodos que no requieren proximidad física, como la interceptación de comunicaciones a nivel de ISP o la alteración de la configuración del proxy mediante malware.

Ataque de intermediario (MITM)