ARP spoofing es un ataque que engaña a los dispositivos de tu red local para que envíen su tráfico al atacante en lugar de al router. Ocurre en la capa 2, es silencioso y no deja rastro visible para la víctima. El envenenamiento ARP aprovecha un defecto de diseño del protocolo: nadie verifica quién dice ser quién. Cualquiera conectado a tu wifi puede interceptar tráfico de red ajeno con herramientas gratuitas y quince minutos de tutorial. Un ARP ataque bien montado te deja las contraseñas, las cookies de sesión y las conversaciones al descubierto sin que salte ninguna alarma. La seguridad de tu red local depende de que entiendas cómo funciona esto, porque los antivirus normales ni se enteran. Vamos a destriparlo.
Qué es el protocolo ARP y por qué es tan fácil de engañar
ARP significa Address Resolution Protocol. Traduce direcciones IP (lógicas) a direcciones MAC (físicas de cada tarjeta de red). Cuando tu portátil quiere hablar con el router, pregunta a gritos: "¿Quién tiene la IP 192.168.1.1?".
El dispositivo con esa IP responde con su MAC. Y aquí está el agujero: cualquiera puede responder. El protocolo no exige ninguna prueba. Se diseñó en 1982, cuando las redes eran cuatro máquinas de confianza en un laboratorio.
Tu equipo guarda esa respuesta en una tabla ARP, una caché temporal. El atacante envía respuestas ARP falsas no solicitadas —lo que se llama gratuitous ARP— diciendo "la IP del router soy yo". Tu ordenador se lo cree sin rechistar. A partir de ahí, todo lo que mandas al router pasa antes por la máquina del atacante.
Cómo funciona un ataque de envenenamiento ARP paso a paso
El envenenamiento ARP se monta como un ataque Man-in-the-Middle (hombre en el medio). El atacante se coloca entre tú y el router sin cortar la conexión, para que no sospeches.
- Reconocimiento: escanea la red con nmap o arp-scan para listar IPs y MACs de todos los dispositivos.
- Envenenamiento doble: le dice a tu equipo que él es el router, y al router que él es tu equipo. Envenena las dos tablas ARP.
- Reenvío: activa el IP forwarding para que el tráfico siga circulando. Tú navegas con normalidad y ni te enteras.
- Captura: con Wireshark o tcpdump lee todo lo que pasa por su tarjeta.
Las herramientas que automatizan esto son de sobra conocidas en el sector: Ettercap, Bettercap, arpspoof (del paquete dsniff) y Cain & Abel en su día. No son software oscuro de la dark web; están en cualquier distribución de auditoría como Kali Linux. Ese es el problema: el listón de entrada para interceptar tráfico de red ajeno es ridículamente bajo.
Qué pueden robarte realmente (y qué no)
Depende de si el tráfico va cifrado. Aquí la cosa cambia bastante desde que HTTPS se generalizó.
| Tipo de tráfico | Riesgo con ARP spoofing |
|---|---|
| HTTP sin cifrar | Lectura total: contraseñas, formularios, cookies |
| HTTPS (TLS) | El contenido va cifrado, pero se ve qué dominios visitas (SNI, DNS) |
| DNS sin cifrar | El atacante ve y puede manipular tus consultas |
| Sesiones con cookies sin flag Secure | Robo de sesión (session hijacking) |
El truco sucio moderno es combinar el ARP ataque con SSL stripping: la herramienta intercepta tu petición HTTPS, habla ella con la web segura y a ti te sirve una versión HTTP degradada. Si no te fijas en el candado del navegador, tecleas la contraseña en claro. Herramientas como sslstrip o Bettercap lo hacen de forma casi transparente.
También pueden manipular DNS para redirigirte a una web de phishing idéntica a tu banco. Si te interesa cómo funcionan esos engaños por otra vía, echa un ojo a nuestro artículo sobre los riesgos de cargar el móvil en puertos USB públicos, que juega en la misma liga de ataques de proximidad.
Casos reales y por qué esto no es teoría de laboratorio
El ARP spoofing lleva décadas usándose. Distintas familias de malware lo han incorporado como técnica para moverse lateralmente dentro de redes corporativas ya comprometidas, saltando de una máquina a otra sin levantar sospechas.
En redes wifi abiertas —cafeterías, aeropuertos, hoteles— es el ataque estrella. Sentarse con un portátil en una terminal de aeropuerto y capturar sesiones ajenas fue durante años un ejercicio trivial. La extensión Firesheep (2010) popularizó el robo de sesiones en wifi pública hasta el punto de forzar a Facebook y Google a implementar HTTPS por defecto.
A nivel normativo, interceptar comunicaciones ajenas sin autorización es delito en España. El Código Penal lo recoge en su artículo 197 (descubrimiento y revelación de secretos), con penas de prisión. Y el RGPD obliga a las empresas a proteger los datos personales en tránsito; una red mal segmentada donde prospere el envenenamiento ARP puede acarrear sanciones de la AEPD. Si gestionas una empresa, tener un plan de respuesta a incidentes deja de ser opcional.
Cómo protegerte del ARP spoofing en tu red local
No hay una bala de plata, sino capas. La seguridad de la red local frente a estos ataques se construye combinando medidas.
- Usa una VPN. Cifra todo el túnel de extremo a extremo, así el atacante solo ve ruido. Es la defensa más práctica en wifi ajena. Compara opciones en nuestra guía de OpenVPN vs WireGuard.
- Fuerza HTTPS. Instala la extensión HTTPS Everywhere (ya integrada en navegadores modernos) y desconfía si desaparece el candado.
- Entradas ARP estáticas. En redes pequeñas o críticas, fija manualmente la MAC del router. El atacante no podrá sobrescribirla.
- Dynamic ARP Inspection (DAI). Switches gestionados (Cisco, Ubiquiti) validan los paquetes ARP y descartan los falsos. Junto con DHCP snooping, corta el ataque de raíz.
- Segmenta con VLANs. Aísla dispositivos IoT y visitantes de tu red principal.
- Detección activa: herramientas como ARPwatch, XArp o el propio Wireshark alertan cuando una MAC cambia de golpe.
Una señal casera de que algo va mal: abre el terminal y ejecuta arp -a. Si dos IPs distintas comparten la misma dirección MAC, tienes un intruso en medio. También conviene usar un gestor de contraseñas local para que, aunque capturen una sesión, no capturen credenciales reutilizadas. Y si te preocupa tu privacidad más allá de la red, hay recursos útiles en portales generalistas como Fácil para Todos.
Preguntas frecuentes
¿Se puede detectar un ataque ARP spoofing?
Sí, aunque no a simple vista. El comando arp -a revela si dos IPs comparten la misma MAC, señal clásica del ataque. Herramientas como ARPwatch o XArp monitorizan la tabla ARP y avisan de cambios sospechosos en tiempo real.
¿Una VPN protege del envenenamiento ARP?
Protege el contenido de tu tráfico, no la red en sí. El atacante seguirá interceptando tus paquetes, pero solo verá datos cifrados que no puede leer. Por eso una VPN es la defensa más recomendada en wifi pública.
¿El ARP spoofing funciona por internet o solo en la red local?
Solo funciona dentro de la misma red local (mismo segmento de capa 2). El atacante necesita estar conectado a tu wifi o cable. No se puede lanzar un ARP ataque contra alguien a través de internet.
¿HTTPS me protege del todo?
Protege el contenido, pero no es infalible. Con técnicas de SSL stripping el atacante puede intentar degradarte a HTTP. Verifica siempre el candado del navegador y no ignores las advertencias de certificado.
¿Qué diferencia hay entre ARP spoofing y ARP poisoning?
Son prácticamente sinónimos. El spoofing es el acto de enviar respuestas ARP falsas; el poisoning (envenenamiento) es el resultado: la tabla ARP de la víctima queda corrompida con datos falsos. En la práctica se usan indistintamente.
El siguiente paso
Abre ahora mismo el terminal de tu ordenador y escribe arp -a. Revisa la lista: si detectas dos direcciones IP apuntando a la misma MAC, desconéctate de esa red y avisa al administrador. Hazlo la próxima vez que uses una wifi que no controles. Y si quieres seguir blindando tu día a día digital, tienes más guías prácticas en el blog de MataSpam.
