El secuestro de DNS (DNS hijacking) es un ataque que altera la resolución de nombres de dominio —en un dispositivo, un router, un resolutor o el registrador— para enviar a los usuarios a servidores del atacante.
Cómo funciona el secuestro de DNS
El sistema de nombres de dominio traduce nombres en direcciones IP, así que quien controla las respuestas controla hacia dónde va el tráfico. Puntos de ataque:
- Secuestro local: el malware cambia la configuración DNS de un equipo. El troyano DNSChanger lo hizo en millones de máquinas hasta la Operación Ghost Click del FBI en 2011.
- Secuestro del router: contraseñas por defecto o vulnerabilidades en routers domésticos permiten apuntar todos los dispositivos de la red a un resolutor malicioso, como hizo la campaña GhostDNS en 2018.
- Secuestro de registros: credenciales robadas del registrador o del proveedor DNS permiten modificar directamente los registros autoritativos de un dominio.
- Manipulación del resolutor: resolutores falsos o comprometidos devuelven respuestas falsas, a veces por publicidad o censura.
Una técnica distinta, el envenenamiento de caché DNS, inyecta respuestas falsas en la caché de un resolutor sin cambiar ninguna configuración.
Por qué es importante
Un DNS secuestrado permite hacer phishing en el dominio «correcto», interceptar el correo y obtener certificados TLS válidos para los servidores del atacante. Las campañas DNSpionage y Sea Turtle (2018-2019) redirigieron así dominios gubernamentales y de telecomunicaciones, sobre todo en Oriente Medio, y llevaron a la CISA estadounidense a emitir en enero de 2019 la Emergency Directive 19-01.
Cómo protegerse
- Proteger las cuentas del registrador y del proveedor DNS con MFA y activar el bloqueo del registrador o del registro (véase secuestro de dominio).
- Firmar las zonas con DNSSEC y vigilar los cambios en los registros DNS y en los registros de Certificate Transparency.
- Cambiar las contraseñas por defecto de los routers y mantener su firmware actualizado.
- Usar resolutores de confianza con DNS cifrado, como DNS over HTTPS.
