La unidad de inteligencia de Infoblox ha emitido una alerta crítica: los ciberdelincuentes han dejado de atacar la puerta principal para esconderse en los cimientos de la red. Al explotar dominios reservados (.arpa) y túneles IPv6, están alojando campañas de phishing en el espacio DNS inverso, un «punto ciego» que las herramientas de seguridad corporativas tradicionales ignoran por diseño
En la constante carrera armamentística de la ciberseguridad, los atacantes han encontrado una forma de volverse invisibles. Un nuevo informe de Infoblox Threat Intel (ITI) revela que las redes criminales han comenzado a utilizar la infraestructura base de Internet —específicamente los dominios de nivel superior reservados como .arpa— para desplegar campañas de fraude masivo.
Para los líderes de ciberseguridad (CISOs) y directores de TI, este hallazgo representa un cambio de paradigma: las defensas basadas en listas negras y análisis de reputación de dominios comerciales (.com, .net) están siendo eludidas de raíz.
El Punto Ciego: Explotando el DNS Inverso
La sofisticación de este ataque radica en su comprensión de cómo operan los filtros de seguridad. El dominio .arpa no fue diseñado para alojar sitios web comerciales, sino para funciones de mapeo de red (asignar direcciones IP a dominios mediante registros DNS inversos). Debido a que es una infraestructura fundamental, la mayoría de los cortafuegos y sistemas de detección lo consideran «tráfico seguro» y no lo inspeccionan.
Los atacantes están aprovechando vulnerabilidades en los controles de gestión de algunos proveedores de DNS. Esto les permite inyectar registros fraudulentos en el espacio .arpa y utilizar túneles IPv6 gratuitos para generar un suministro inagotable de direcciones IP desde donde lanzar sus ataques.
El Vector de Ataque: Ingeniería Social de Alta Precisión
A pesar de la complejidad de la infraestructura trasera, el ataque que llega al empleado o cliente final es engañosamente simple:
El Anzuelo: Correos electrónicos que suplantan la identidad de grandes marcas ofreciendo falsos regalos o premios.
La Trampa: El mensaje oculta un hipervínculo dentro de una imagen, redirigiendo a la víctima a través de Sistemas de Distribución de Tráfico (TDS).
El Camuflaje: La URL que el usuario ve en su navegador parece ordinaria; las complejas cadenas de DNS inverso basadas en .arpa permanecen ocultas, permitiendo el robo de credenciales o la instalación de malware sin activar alarmas.
El Nuevo Mandato de Seguridad
Renée Burton, VP de Infoblox Threat Intel, resume la gravedad de esta táctica con una analogía contundente:
«Cuando vemos que los atacantes hacen un uso fraudulento de .arpa, están utilizando como herramienta la médula misma de Internet… Al convertir .arpa en una plataforma de phishing, estos actores eluden eficazmente los controles tradicionales».
El mensaje para las juntas directivas es claro. La estrategia de defensa corporativa debe evolucionar inmediatamente. Ya no basta con bloquear URLs sospechosas; es imperativo que las organizaciones traten a la propia infraestructura DNS como un vector de amenaza activo, exigiendo herramientas de visibilidad profunda capaces de auditar y detectar anomalías en los protocolos más básicos de conectividad.
