// 01
Ataques de red: panorama
🌐 ¿Qué es un ataque de red?
Es una acción maliciosa que se lleva a cabo a través de la infraestructura de internet para interrumpir, interceptar o manipular servicios, datos o sistemas sin autorización del propietario.
🎯 Diferencia con otros ataques
A diferencia de ataques físicos o por ingeniería social, los ataques de red explotan protocolos, software y configuraciones de la infraestructura digital, muchas veces de forma remota y anónima.
📈 Escala actual
En 2024, se registraron más de 13 millones de ataques DDoS a nivel global. Los ataques de inyección SQL siguen siendo la causa número 1 de brechas de datos en aplicaciones web.
🔗 Complemento
Este apunte profundiza los ataques de red mencionados en el módulo de Seguridad Informática. Se recomienda leer primero ese módulo para entender la tríada CIA y las amenazas generales.
📌 Concepto clave
La mayoría de estos ataques no explotan "magia" tecnológica, sino debilidades conocidas en protocolos estándar de internet (TCP/IP, HTTP, DNS, SQL). Entender cómo funcionan es el primer paso para defenderse.
| Tipo de ataque | Qué afecta (tríada CIA) | Objetivo habitual | Nivel de complejidad |
|---|---|---|---|
| DoS / DDoS | Disponibilidad | Servidores web, bancos, DNS | Medio-Alto |
| Man-in-the-Middle | Confidencialidad · Integridad | Redes Wi-Fi públicas, VoIP | Alto |
| Inyección SQL | Confidencialidad · Integridad | Aplicaciones web con BD | Bajo-Medio |
| Fuerza Bruta | Confidencialidad | Paneles de login, SSH, RDP | Bajo |
| Zero-Day | Los tres pilares | Cualquier software vulnerable | Muy Alto |
| DNS Spoofing | Confidencialidad · Integridad | Resolvers DNS, usuarios finales | Alto |
// 02
DoS y DDoS
Un ataque de Denegación de Servicio (DoS) satura un servidor con tráfico falso hasta que colapsa y deja de responder a usuarios legítimos. Cuando el ataque proviene de miles de equipos simultáneamente, se llama DDoS (Distribuido).
// diagrama — dinámica de un ataque DDoS
Denegación de Servicio Distribuido Disponibilidad
Miles de equipos infectados (botnet) bombardean un servidor con peticiones hasta colapsarlo.
⌄
Variantes comunes
Volumétrico (UDP flood, ICMP flood), Protocolo (SYN flood), Aplicación (HTTP flood, Slowloris)
Botnet
Red de dispositivos infectados (PCs, routers, cámaras IoT) controlados remotamente por el atacante
Escala típica 2024
Ataques de hasta 3,8 Tbps registrados. Una botnet puede alquilarse por u$s 10 la hora en la dark web.
Defensas
CDN + scrubbing centers (Cloudflare, Akamai), rate limiting, anycast routing, BGP blackholing
01El atacante infecta miles de dispositivos con malware → forma una botnet.
02Desde un servidor de Comando y Control (Command & Control), ordena a todos atacar el objetivo simultáneamente.
03El servidor víctima recibe más tráfico del que puede procesar → colapsa o se vuelve inaccesible.
04Los usuarios legítimos no pueden acceder al servicio durante el ataque (minutos a días).
📰 Caso real — DDoS a X (Twitter), 2024
En agosto de 2024, la plataforma X sufrió un ataque DDoS masivo coordinado horas antes de la entrevista en vivo de Elon Musk con Donald Trump. El servicio experimentó caídas intermitentes durante más de una hora afectando a millones de usuarios globalmente. El grupo prorruso "Anonymous Sudan" reclamó la autoría del ataque, que generó pérdidas millonarias en publicidad y erosionó la confianza en la plataforma.
↗ Ver referencia (BBC News)
✅ Cómo mitigarlo
Usar servicios CDN con protección DDoS integrada (Cloudflare, AWS Shield). Para servidores propios: limitar la tasa de peticiones por IP, configurar firewalls con reglas de estado y monitoreo de tráfico en tiempo real.
// 03
Man-in-the-Middle (MitM)
El atacante se interpone en la comunicación entre dos partes (cliente y servidor) sin que ninguna lo sepa. Puede leer, modificar o inyectar datos en tiempo real.
// diagrama — intercepción man-in-the-middle
Man-in-the-Middle Intercepción
El atacante se ubica entre dos partes de una comunicación para leer o modificar el tráfico en tiempo real.
⌄
Técnicas habituales
ARP Spoofing (LAN), SSL Stripping, Rogue AP (Wi-Fi falso), DNS Spoofing, BGP Hijacking
Qué puede robar
Cookies de sesión, credenciales, tokens de autenticación, datos bancarios, mensajes
Entorno de riesgo
Redes Wi-Fi públicas sin contraseña (aeropuertos, cafés), redes corporativas sin segmentación
Defensa principal
HTTPS/TLS en todo el tráfico, HSTS, VPN, DNSSEC, autenticación mutua con certificados
📰 Caso real — BGP Hijacking a Cloudflare (2024)
En enero de 2024, un ataque de BGP hijacking (variante de MitM a escala de internet) redirigió tráfico destinado a rutas de Cloudflare a través de nodos intermedios no autorizados. Aunque la interrupción fue breve, evidenció que incluso la infraestructura más crítica de internet es vulnerable a este tipo de intercepción. BGP, el protocolo de enrutamiento global, fue diseñado en una era donde la confianza entre operadores era implícita.
↗ Ver referencia (Cloudflare Blog)
⚠️ Wi-Fi público
Nunca usar redes Wi-Fi abiertas para acceder a bancos, correo o trabajo sin una VPN activa. Un atacante en la misma red puede realizar ARP spoofing en segundos con herramientas como Ettercap o Bettercap.
// 04
Inyección SQL (SQLi)
Cuando una aplicación web no valida correctamente lo que el usuario ingresa en un formulario, un atacante puede insertar comandos SQL maliciosos que la base de datos ejecuta sin saber que no son legítimos.
// diagrama — inyección SQL en formulario de login
SQL Injection Aplicación Web
Inserción de comandos SQL maliciosos en campos de formulario para manipular o exfiltrar la base de datos.
⌄
Variantes
In-band (clásico), Blind SQLi (sin respuesta visible), Time-based, Out-of-band
Consecuencias
Robo de bases de datos completas, bypass de login, borrado de datos, ejecución de comandos en el servidor
Herramientas de ataque
sqlmap (automatiza la detección y explotación), Havij, BBQSQL
Prevención
Prepared statements / consultas parametrizadas, ORM, validación de entrada, WAF, principio de mínimo privilegio en la BD
📰 Caso real — Filtración de datos de AT&T, 2024
En julio de 2024, AT&T confirmó una filtración masiva que expuso registros de llamadas y mensajes de texto de aproximadamente 109 millones de clientes correspondientes a 2022-2023. Si bien el vector inicial fue acceso no autorizado a una plataforma de datos en la nube (Snowflake), las vulnerabilidades de inyección y autenticación débil en APIs fueron factores determinantes. Los datos robados incluían metadatos de comunicaciones de prácticamente toda su base de clientes.
↗ Ver referencia (BBC News)
✅ La defensa más efectiva: Prepared Statements
En lugar de construir la query concatenando strings, se usa un template con parámetros separados. La base de datos los trata como datos puros, nunca como código ejecutable, sin importar qué contenga el input del usuario.
// 05
Ataques de Fuerza Bruta
El atacante usa software automatizado que prueba miles o millones de combinaciones de contraseñas por segundo hasta encontrar la correcta. No requiere conocimiento previo del sistema, solo tiempo y capacidad de cómputo.
// diagrama — velocidad de ataque por fuerza bruta
Fuerza Bruta Credenciales
Prueba sistemática y automatizada de contraseñas hasta encontrar la correcta, usando diccionarios o combinaciones exhaustivas.
⌄
Variantes
Diccionario (wordlist conocidas), Credential Stuffing (listas de brechas previas), Password Spraying (1 pass, muchos usuarios)
Objetivos
Paneles de login web, SSH (puerto 22), RDP (puerto 3389), FTP, correo SMTP/IMAP, APIs
Herramientas comunes
Hydra, Medusa, hashcat (offline), John the Ripper, Burp Suite Intruder
Defensa
Rate limiting, bloqueo tras N intentos, CAPTCHA, 2FA/MFA, contraseñas largas (>12 chars), alertas de intentos fallidos
📰 Caso real — Credential Stuffing a Roku, 2024
En marzo de 2024, Roku reveló que 576.000 cuentas fueron comprometidas mediante credential stuffing: los atacantes usaron combinaciones de usuario/contraseña filtradas de otras plataformas (no de Roku) y las probaron automáticamente hasta obtener acceso. En muchos casos, los intrusos compraron suscripciones de streaming con las tarjetas guardadas. Roku respondió con autenticación de dos factores obligatoria y restablecimiento de contraseñas para las cuentas afectadas.
↗ Ver referencia (BBC News)
⚠️ Por qué reutilizar contraseñas es peligroso
Si usás la misma contraseña en varios sitios y uno es filtrado, los atacantes la probarán en todos los demás servicios automáticamente. Un gestor de contraseñas (Bitwarden, 1Password) genera y recuerda claves únicas por cada sitio.
// 06
Ataques de Día Cero (Zero-Day)
Un Zero-Day es una vulnerabilidad de software que el fabricante desconoce (o recién conoce) y para la que no existe parche todavía. El nombre viene de que el desarrollador tiene "cero días" para reaccionar antes de que sea explotada.
// diagrama — ciclo de vida de un zero-day
Zero-Day Exploit Vulnerabilidad
Explotación de una falla de software desconocida por el fabricante, para la que no existe parche en el momento del ataque.
⌄
Por qué es tan peligroso
No hay parche disponible. Los sistemas actualizados siguen siendo vulnerables. Los antivirus no lo detectan si el exploit es nuevo.
Quién los usa
Actores estatales (APT), grupos criminales organizados, brokers como Zerodium pagan hasta u$s 2,5M por un zero-day de iOS.
Vectores frecuentes
Navegadores, plugins (PDF, Office), sistemas operativos, firmware de routers, apps móviles, servidores web
Defensas posibles
Principio de mínimo privilegio, sandboxing, EDR avanzado, segmentación de red, respuesta a incidentes rápida, actualizaciones inmediatas cuando se publica parche
📰 Caso real — Zero-Day en MOVEit Transfer (2023–2024)
La vulnerabilidad CVE-2023-34362 en el software de transferencia de archivos MOVEit fue explotada masivamente por el grupo de ransomware Cl0p desde mayo de 2023. Antes de que Progress Software publicara el parche, los atacantes ya habían comprometido más de 1.000 organizaciones en todo el mundo, incluyendo gobiernos, bancos y universidades. El impacto total afectó a más de 62 millones de personas y el coste estimado superó los 12.000 millones de dólares. El ataque demostró la devastación posible en la ventana de exposición previa al parche.
↗ Ver referencia (BBC News)
🛡️ Defensa ante lo desconocido
Como no podés parchear lo que no existe, la estrategia es contención y detección: aislar sistemas críticos, monitorear comportamientos anómalos, aplicar parches apenas estén disponibles y tener un plan de respuesta a incidentes probado.
// 07
Falsificación DNS (DNS Spoofing)
DNS es la "guía telefónica" de internet: traduce nombres de dominio (google.com) en direcciones IP. El DNS Spoofing envenena esa guía para enviar al usuario a un sitio falso sin que lo note.
// diagrama — envenenamiento de caché DNS
DNS Spoofing / Cache Poisoning Suplantación
Alterar los registros DNS para desviar tráfico a servidores falsos controlados por el atacante.
⌄
Mecanismo técnico
El atacante envía respuestas DNS falsas más rápido que el servidor legítimo, o explota fallos en el protocolo DNS para "envenenar" la caché del resolver.
Por qué es difícil de detectar
El usuario escribe la URL correcta, ve un sitio visualmente idéntico al real. Sin inspeccionar el certificado o la IP real, es prácticamente indetectable a simple vista.
Consecuencias
Phishing avanzado, robo de credenciales, distribución de malware desde sitios "de confianza", ataques BGP a escala de internet
Defensas
DNSSEC (firma criptográfica de registros DNS), DNS sobre HTTPS (DoH), DNS sobre TLS (DoT), verificar certificado SSL del sitio
📰 Caso real — DNS Hijacking a proveedores de Argentina (2023)
En noviembre de 2023, múltiples proveedores de internet y servicios financieros en Argentina sufrieron un ataque de DNS hijacking que redirigió usuarios de dominios bancarios legítimos a páginas de phishing durante varias horas. Los usuarios que escribían correctamente la dirección de su banco eran enviados a clones visuales perfectos de los sitios. La deficiencia estaba en que los resolvers DNS de los ISPs no implementaban DNSSEC, lo que permitió el envenenamiento de la caché sin detección inmediata.
↗ Ver referencia (Infobae)
✅ Cómo protegerse como usuario
Antes de ingresar datos en un sitio bancario o crítico: verificar el candado verde y que el dominio del certificado coincida exactamente con el esperado. Usar DNS cifrado como 1.1.1.1 (Cloudflare) o 8.8.8.8 (Google) con DoH activado.
// 08
Actividad de repaso
Seleccioná la opción correcta en cada pregunta para comprobar lo aprendido.
P1 ¿Cuál es la diferencia principal entre un ataque DoS y un DDoS?
✔ ¡Correcto! DoS (Denial of Service) es un ataque desde una sola fuente. DDoS (Distributed) usa una botnet de miles de equipos comprometidos, lo que lo hace mucho más difícil de bloquear.
✖ Incorrecto. La diferencia clave es la distribución: DoS = 1 fuente; DDoS = miles de fuentes simultáneas formando una botnet.
P2 ¿Qué le permite hacer a un atacante un ataque Man-in-the-Middle exitoso?
✔ ¡Exacto! El atacante se posiciona entre las dos partes y puede leer, modificar o inyectar datos en el flujo de comunicación, siendo invisible para ambos extremos.
✖ Incorrecto. MitM implica interposición en la comunicación: el atacante puede escuchar y modificar el tráfico entre dos partes sin que ninguna lo detecte.
P3 Un formulario de login tiene este campo de contraseña:
' OR '1'='1. ¿Qué tipo de ataque se está intentando?✔ ¡Muy bien! Es SQLi clásico: el payload
' OR '1'='1 cierra la cadena de texto e inyecta una condición siempre verdadera, intentando bypassear la autenticación.✖ Incorrecto. El input
' OR '1'='1 es un payload de Inyección SQL: intenta insertar código SQL en el campo para manipular la consulta de la base de datos.P4 ¿Por qué un ataque Zero-Day es especialmente difícil de defender?
✔ ¡Correcto! La ausencia de parche y la falta de firmas en antivirus lo hacen extremadamente peligroso. Incluso sistemas perfectamente actualizados son vulnerables durante la ventana de exposición.
✖ Incorrecto. "Día cero" no es la hora del ataque: significa que el fabricante tiene cero días para reaccionar porque desconoce la vulnerabilidad. No hay parche posible si no se sabe que existe el problema.
P5 Un usuario escribe correctamente la URL de su banco y llega a un sitio idéntico que le roba su contraseña. El sitio no muestra advertencias en el navegador. ¿Qué ataque probablemente ocurrió?
✔ ¡Excelente! DNS Spoofing es exactamente esto: la URL escrita es correcta, pero el resolver DNS envenenado devuelve la IP del atacante. Para detectarlo: verificar el certificado SSL y el emisor del mismo.
✖ Incorrecto. Cuando se escribe bien la URL y aun así se llega a un sitio falso, es señal de DNS Spoofing: los registros DNS fueron manipulados para asociar el dominio legítimo a una IP maliciosa.