Spoofing: qué es, tipos de suplantación y qué para el cortafuegos

Spoofing quiere decir suplantación, y en seguridad informática sirve para casi todo lo que se hace pasar por otra cosa: la web falsa del banco, el correo que parece de un proveedor, el paquete de red con una dirección de origen inventada o la llamada que muestra el número de tu empresa sin haber salido de ella. Esta guía repasa los tipos, cómo protegerse de cada uno y qué parte resuelven el cortafuegos y el router.

Qué es el spoofing

INCIBE lo define como el empleo de técnicas de hacking para suplantar la identidad de una web, una entidad o una persona en la red, con el objetivo de conseguir información privada, sobre todo credenciales. Necesita tres partes: el atacante, la víctima y el sistema o la entidad que se falsifica para que la víctima confíe.

Va muy unido al phishing, y INCIBE explica la diferencia: el phishing es el engaño que hace que el usuario pulse el enlace; el spoofing es la técnica que falsifica la web, el correo o la dirección para que todo parezca legítimo. Es una forma de ingeniería social cuando el objetivo es una persona, pero algunos tipos engañan directamente a los equipos de la red.

Los tipos de spoofing

Los que engañan a las personas: web, correo y teléfono

Web. INCIBE lo cuenta como uno de los más populares: llega un SMS o un correo con una oferta o un aviso, se pulsa el enlace y se escriben los datos en una copia de la web. Su consejo es revisar con cuidado la dirección antes de escribir nada y, aunque la web tenga certificado, asegurarse de que es la web que dice ser.

Correo. Se suplanta la dirección de una persona o entidad de confianza para pedir datos o hacer abrir un adjunto con malware, y también para enviar spam en masa. INCIBE recomienda la firma digital del correo para autenticar los mensajes y, ante la duda, preguntar a la empresa que supuestamente escribe, entrando en su web a mano. Para que no suplanten el dominio de tu empresa existen SPF, DKIM y DMARC, que se explican en la guía del phishing.

Teléfono. INCIBE le ha dedicado un artículo para las pymes porque les llega por dos lados: como víctima de una llamada falsa que parece del banco, de una administración o del servicio técnico, y como empresa suplantada, cuando sus clientes reciben llamadas en las que aparece el número real de la empresa y este acaba marcado como «posible spam». Según INCIBE, la suplantación de identidad por imitación fue en 2025 la primera temática de las consultas de empresas y profesionales a su Línea de Ayuda, con un 18 %.

La regla que da INCIBE es sencilla: el número que aparece no basta para confiar. Si una llamada pide un pago, un cambio de cuenta bancaria, un acceso remoto al ordenador, una contraseña o un código, se cuelga y se verifica por un canal oficial conocido. Si es tu número el suplantado, INCIBE aconseja recopilar pruebas, pedir a la operadora que revise la línea, denunciar e informar a los clientes de que la empresa nunca pide claves, códigos ni pagos urgentes por teléfono. Además, el Ministerio para la Transformación Digital obliga a las operadoras, con la Orden TDF/149/2025, a bloquear las llamadas y SMS con numeración falsa, suplantada o no asignada.

Los que engañan a la red: IP, DNS y ARP

Aquí el engañado no es una persona sino un equipo que confía en una dirección. El glosario del NIST lo define como el intento de acceder a un sistema haciéndose pasar por un usuario autorizado.

• IP. INCIBE pone el ejemplo de un servidor que solo acepta ciertas direcciones IP: el atacante usa una de ellas como origen y lo inunda de peticiones hasta tumbarlo, que es una denegación de servicio. Como el atacante no recibe las respuestas, la falsificación sirve sobre todo para atacar, no para conversar.
• DNS. Según INCIBE, el atacante infecta el equipo o el router de la víctima y cambia los servidores DNS, de modo que al escribir la dirección de una red social o del banco el navegador acaba en una web falsa. Su consejo es blindar el router: cambiar las contraseñas por defecto y restringir las conexiones remotas.
• ARP. Funciona dentro de la red local. Al falsear la tabla ARP de la víctima, explica el glosario de INCIBE, todo lo que se envía a un usuario acaba en el atacante, que puede ponerse en medio de la conversación.

Qué hacen el cortafuegos y el router

Contra el spoofing de red sí hay filtros técnicos, y casi todos se configuran en el cortafuegos o en el router del perímetro:

• Descartar las direcciones imposibles. Un paquete que llega por la conexión a internet con una dirección de origen privada, reservada o no asignada (las llamadas «bogon») no puede ser legítimo. La configuración avanzada de cortafuegos que documenta MikroTik descarta esos paquetes, los que llegan de internet con direcciones que no son globales y los que salen de la red local con una dirección de origen que no es la suya.
• Comprobar la ruta de vuelta (uRPF). La guía de seguridad de redes de la NSA explica que el router compara la dirección de origen de cada paquete con su tabla de rutas y lo descarta si la ruta de vuelta no sale por la interfaz por la que entró. La NSA recomienda activarla en las interfaces externas de los routers del perímetro, pero no en las internas ni donde haya rutas asimétricas, porque descartaría tráfico bueno.
• Filtrar por IP con cabeza. INCIBE recomienda filtrar las conexiones entrantes por dirección IP en el cortafuegos del router. Esto es criterio de esta web: una regla que confía solo en la dirección de origen no autentica a nadie; para un acceso remoto, mejor una VPN con usuario y contraseña que una lista de IP permitidas.
• Proteger la red local. La NSA aconseja desactivar el proxy ARP en todas las interfaces salvo que haga falta, porque permite suplantar un sistema e interceptar paquetes. Esto es criterio de esta web: muchos cortafuegos y switches gestionables tienen funciones de inspección o detección ARP que conviene activar, y separar la red en VLAN limita a quién puede engañar un equipo infectado.

Contra el spoofing de web y de correo, el cortafuegos ayuda de forma indirecta: el filtrado web bloquea las webs falsas que su fabricante ya tiene clasificadas como phishing. Contra el telefónico no puede hacer nada.

En resumen: cómo protegerse

1. Revisar la dirección de la web antes de escribir datos y entrar a mano en la web del banco o del organismo, no por el enlace del mensaje.
2. Ante un correo o una llamada que piden algo sensible, verificarlo por otro canal conocido.
3. Configurar SPF, DKIM y DMARC en el dominio de la empresa.
4. Cambiar las contraseñas por defecto del router y del cortafuegos y cerrar su administración desde internet.
5. Descartar en el perímetro el tráfico con direcciones de origen imposibles.

Para cualquier duda, la Línea de Ayuda en Ciberseguridad de INCIBE, el 017, es gratuita y confidencial.