Qué es un ataque man-in-the-middle y cómo detectarlo

Un ataque man-in-the-middle (MitM), también llamado ataque de intermediario, ocurre cuando un ciberdelincuente se coloca entre tu dispositivo y el servicio al que intentas conectarte. En lugar de comunicarse directamente, tus datos pasan por el atacante, que puede espiarlos, modificarlos o incluso hacerse pasar por una de las partes.

Este tipo de amenaza puede afectar a ordenadores, móviles, tabletas y dispositivos conectados. Aunque el cifrado moderno ha dificultado mucho los ataques MitM, siguen siendo habituales en redes wifi inseguras, conexiones falsas y dispositivos comprometidos.

Cómo funciona un ataque man-in-the-middle

En una conexión normal, tu dispositivo contacta con una web, una aplicación o un servidor. El tráfico viaja cifrado cuando se utiliza HTTPS, una VPN u otros protocolos seguros. En un ataque MitM, el delincuente intenta interceptar esa comunicación sin que notes su presencia.

Por ejemplo, puede crear una red wifi con un nombre parecido al de una cafetería, manipular las respuestas DNS para enviarte a una página falsa o instalar un certificado malicioso en tu dispositivo. Si consigue que te conectes, podría capturar credenciales, cookies de sesión, mensajes o datos bancarios.

Principales variantes

• Wifi fraudulenta: una red abierta o con un nombre conocido diseñada para atraer víctimas.
• Suplantación ARP: el atacante engaña a los dispositivos de una red local para interceptar su tráfico.
• DNS spoofing: las peticiones de dominio se manipulan para dirigir al usuario a una web controlada por el atacante.
• HTTPS stripping: se intenta degradar una conexión segura a HTTP, sin cifrado.
• Secuestro de sesión: se roba una cookie válida para acceder a una cuenta sin conocer la contraseña.
• Phishing avanzado: una página falsa imita a un servicio legítimo para capturar datos y códigos de autenticación.

Señales que pueden indicar un ataque MitM

Detectar un ataque de intermediario no siempre es sencillo, porque el objetivo es pasar desapercibido. Aun así, conviene prestar atención a varias señales:

• El navegador muestra advertencias sobre certificados, conexiones no privadas o dominios sospechosos.
• La dirección web cambia ligeramente, por ejemplo, con letras añadidas, otro dominio o caracteres extraños.
• La conexión se vuelve inusualmente lenta, se interrumpe con frecuencia o redirige a páginas inesperadas.
• Aparecen ventanas emergentes, solicitudes de instalación o avisos para aceptar certificados desconocidos.
• Recibes alertas de inicio de sesión desde ubicaciones, dispositivos o navegadores que no reconoces.
• Una aplicación solicita de repente permisos excesivos, como acceso a certificados, redes VPN o funciones de accesibilidad.
• El certificado HTTPS presenta un emisor extraño, una fecha incorrecta o un nombre que no coincide con la web.

Estas señales no demuestran por sí solas que exista un ataque: también pueden deberse a problemas de red, errores del servidor o software desactualizado. Sin embargo, nunca conviene ignorar una advertencia de seguridad del navegador.

Cómo comprobar si tu conexión es segura

1. Revisa la dirección y el certificado

Comprueba que el dominio sea exactamente el correcto y que utilice HTTPS. Pulsa el icono del candado del navegador para consultar el certificado, aunque recuerda que HTTPS no confirma que una web sea legítima: una página de phishing también puede tener un certificado válido.

2. Comprueba la red wifi

Pregunta al personal del establecimiento cuál es el nombre exacto de la red y evita conectarte automáticamente a redes abiertas. En casa, revisa los dispositivos conectados desde el panel del router y cambia la contraseña de administración si detectas algo desconocido.

3. Busca cambios en DNS y configuración

Revisa que el servidor DNS configurado en el dispositivo o en el router sea el que has elegido. Puedes utilizar servicios reconocidos como Cloudflare DNS o Quad9, aunque cambiar el DNS no sustituye al cifrado. En móviles y ordenadores, comprueba también que no haya perfiles, certificados o aplicaciones VPN que no hayas instalado.

4. Usa herramientas de monitorización

Un antivirus actualizado y las funciones de seguridad integradas en Windows, macOS, Android e iOS pueden detectar aplicaciones maliciosas o certificados sospechosos. En redes empresariales, herramientas como Wireshark o sistemas de detección de intrusiones permiten analizar tráfico, pero requieren conocimientos técnicos y autorización.

Cómo protegerte frente a un ataque man-in-the-middle

• Actualiza el sistema operativo, el navegador, el router y las aplicaciones. Muchas actualizaciones corrigen vulnerabilidades explotables.
• Evita operaciones sensibles en redes wifi públicas. Si no tienes alternativa, utiliza datos móviles o una VPN de confianza.
• Activa la autenticación multifactor, preferiblemente con una llave de seguridad FIDO2 o una aplicación de códigos, en lugar de depender solo de SMS.
• No aceptes certificados ni avisos de seguridad si no sabes exactamente por qué aparecen.
• Desactiva la conexión automática a redes wifi y Bluetooth cuando no los necesites.
• Utiliza contraseñas únicas y un gestor de contraseñas. Así será más difícil que una contraseña robada sirva para acceder a otras cuentas.

Una VPN cifra el tráfico entre tu dispositivo y el servidor VPN, lo que ayuda a protegerte en redes públicas. Servicios como NordVPN, Surfshark, ExpressVPN, ProtonVPN o Mullvad pueden ser opciones conocidas, pero debes descargar sus aplicaciones desde fuentes oficiales. Una VPN no te protege de una web de phishing, de un dispositivo infectado ni de una cuenta comprometida, y solo debes confiar en proveedores con políticas de privacidad claras.

Qué hacer si sospechas que has sido víctima

Desconecta el dispositivo de la red sospechosa, desactiva la VPN o el perfil desconocido y realiza un análisis de seguridad. Desde otro dispositivo fiable, cambia las contraseñas empezando por el correo electrónico, revoca sesiones abiertas y revisa la actividad de tus cuentas. Contacta con tu banco si has introducido datos financieros y conserva capturas, mensajes y direcciones web para denunciar el incidente.

La mejor defensa combina conexiones cifradas, actualizaciones, autenticación multifactor y prudencia. Si una red, un certificado o una página te presiona para actuar deprisa, detente: esa pausa puede evitar que un intermediario convierta una conexión cotidiana en una fuga de datos.