Internet en alerta: CURATOR detecta 11 filtraciones de rutas BGP en solo un trimestre

En el tercer trimestre de 2026, CURATOR contabilizó 11 filtraciones globales de rutas y un secuestro BGP. La empresa califica el número de fallos importantes como anormalmente alto, aunque las redes implicadas específicamente en secuestros aparecen cada vez con menos frecuencia. En un año, el número de sistemas autónomos únicos con tales incidentes se redujo un 38,2%.

BGP determina por qué rutas circula el tráfico entre las grandes redes de Internet. Si una red comienza a anunciar direcciones IP ajenas como propias, otros participantes pueden creer en ese anuncio y enviar el tráfico al lugar equivocado. Ese secuestro BGP permite redirigir las conexiones a través de infraestructuras ajenas, y un error común de enrutamiento puede interrumpir el acceso a múltiples servicios a la vez.

El episodio más ilustrativo del trimestre afectó a Softaculous y a la plataforma de gestión de máquinas virtuales Virtualizor. A finales de agosto, los atacantes anunciaron una ruta más específica hacia una parte del espacio de direcciones de Hetzner donde estaban alojados los servidores de Softaculous. Internet prefiere la ruta más específica, por lo que parte del tráfico se dirigió al servidor de los atacantes.

Lo que hizo especialmente peligroso el incidente fue la verificación RPKI. El mecanismo debería descartar anuncios de rutas de redes que no tienen permiso del propietario de las direcciones; sin embargo, la ruta falsificada pasó la verificación como válida debido a la configuración de los ROA para ese rango. En otras palabras, la comprobación criptográfica no detectó la suplantación, aunque la ruta en realidad conducía a los atacantes.

Las consecuencias fueron mucho más allá de la interrupción de la red. Softaculous confirmó que los atacantes redirigieron el tráfico hacia sus sistemas, obtuvieron un certificado TLS válido para los dominios de la empresa y pudieron distribuir una actualización maliciosa a un pequeño número de instalaciones de Virtualizor. El certificado no provocó advertencias porque la comprobación automática de la propiedad del dominio también siguió la ruta secuestrada. Tras el ataque, los desarrolladores añadieron una firma criptográfica a los paquetes y a las respuestas de la API.

CURATOR considera que la adopción de RPKI ROA ya ha reducido de forma notable el número de secuestros BGP comunes. Con las filtraciones de rutas la situación cambia más despacio: el número de sistemas autónomos que cometieron ese tipo de errores se redujo en el año solo un 6,4%. RPKI verifica si una red tiene derecho a anunciar un rango concreto de direcciones, pero no controla todo el camino por el que el anuncio viaja a través de Internet.

Para combatir las filtraciones existen mecanismos específicos, incluidos RFC 9234 y ASPA; sin embargo, CURATOR valora su adopción como incipiente. Por eso dos problemas que parecen similares externamente ahora divergen en las estadísticas: los secuestros retroceden progresivamente, mientras que las grandes filtraciones de rutas siguen ocurriendo. La historia de Virtualizor mostró además otra limitación: incluso una ruta con estatus RPKI-valid no puede considerarse automáticamente segura si el propietario del espacio de direcciones configuró de forma demasiado amplia los anuncios permitidos.