En esta página: [esconder]
Recibes un correo electrónico de tu proveedor de hosting. Línea de asunto: “Acción requerida: Actualice su dominio a DNSSEC.” El logo coincide, el nombre del remitente parece correcto, y el mensaje explica que necesita activar las extensiones de seguridad DNS de forma gratuita. Haces clic en el enlace, ingrese su contraseña de WordPress en lo que parece un asistente de actualización, y sigue con tu día. Dos horas después, alguien más controla su sitio web.
Ese escenario exacto se desarrolló en 2020 cuando los investigadores de Sophos documentaron una campaña de phishing dirigida a propietarios de sitios de WordPress. Los estafadores recopilaron datos de WHOIS para personalizar cada correo electrónico para que coincida con el proveedor de alojamiento real de cada víctima.. Seis años después, Los ataques basados en DNS han empeorado. Según el Informe global sobre amenazas al DNS de IDC/EfficientIP, 90% de las organizaciones experimentaron al menos un ataque DNS, con un costo promedio de Dólar estadounidense 1.1 millones por incidente.
respuesta rapida: DNSSEC agrega firmas criptográficas a los registros DNS, prevención de suplantación de identidad y envenenamiento de caché. Pero sólo cubre un vector de ataque.. La protección DNS completa requiere autenticación de dos factores en las cuentas de hosting, solucionadores de DNS cifrados (Flama de nube 1.1.1.1, cuádruple9 9.9.9.9), y saber cómo detectar correos electrónicos de phishing disfrazados de “actualizaciones de seguridad.”
Última revisión: abril 2026. Datos de ataques y estadísticas de DNSSEC verificados.
Amenaza de un vistazo
- Tipo de amenaza: Suplantación de DNS, envenenamiento de caché, suplantación de identidad, secuestro de dominio
- ¿Quién es el objetivo?: Propietarios de sitios web, Administradores de WordPress, cualquiera con un dominio
- Escala: 90% de organizaciones afectadas por ataques DNS; 70,000+ dominios secuestrados a través del “patos sentados” técnica sola
- Costo promedio por ataque: Dólar estadounidense 1.1 millón (IDC/IP eficiente 2023)
- Adopción de DNSSEC: Solamente 4.27% de dominios a nivel global (febrero 2026)
- Defensa clave: 2FA en todas las cuentas de hosting, solucionadores de DNS seguros, DNSSEC donde sea compatible, y nunca hacer clic “potenciar” enlaces en correos electrónicos
Cómo funcionan los ataques DNS
Cada visita a un sitio web comienza con una búsqueda de DNS. Su navegador solicita un solucionador “¿Cuál es la dirección IP de este dominio??” y la respuesta rebota en varios servidores antes de llegar. Cada salto en esa cadena es un punto potencial de manipulación.. Los atacantes aprovechan esto insertando registros DNS falsos, redirigir a los visitantes a copias falsas de sitios legítimos, o interceptar búsquedas por completo.
Cuatro tipos de ataques surgen con mayor frecuencia:
Suplantación de DNS y envenenamiento de caché
Un atacante inyecta datos DNS corruptos en la caché de un solucionador. Cuando los usuarios intentan visitar su sitio web, en su lugar, los envían a una versión falsa. El verdadero peligro? Los visitantes ven su nombre de dominio en su navegador., por lo que no tienen ninguna razón obvia para sospechar que algo anda mal. Sus credenciales de inicio de sesión, Detalles del pago, y los datos personales van directamente al atacante.
Secuestro de DNS
En lugar de envenenar un caché, Los secuestradores toman el control directo de los registros o servidores DNS.. los “patos sentados” El ataque es un buen ejemplo.. Documentado por Infoblox en 2024, explota delegaciones de dominio mal configuradas. Terminado 70,000 Los dominios ya han sido secuestrados. Por aquí. Otro 800,000 permanecer vulnerable. Un grupo de amenazas, “Halcón apresurado,” utilizó dominios secuestrados para ejecutar el phishing de DHL 200+ sitios.
Túnel DNS
Este es astuto. Los malos actores codifican datos dentro de consultas DNS para pasar información a través de los firewalls. Dado que la mayoría de las redes permiten el tráfico DNS libremente, es un punto ciego. Los datos robados salen a la luz, Entran los comandos del control remoto, y nada activa una alerta de seguridad estándar.
Farmacéutica
Un primo más silencioso de la suplantación de identidad. Pharming redirige a los usuarios de sitios web legítimos a copias falsificadas. Funciona mediante envenenamiento de DNS a nivel de resolución o malware que modifica la configuración de DNS en el dispositivo de la víctima.. Una forma de atraparlo: Los administradores de contraseñas no se completarán automáticamente en las páginas de pharming porque el dominio subyacente no coincide..
Qué hace realmente DNSSEC (y no lo hace)
DNSSEC (Extensiones de seguridad del sistema de nombres de dominio) agrega firmas criptográficas a los registros DNS. Piense en ello como un sello a prueba de manipulaciones.. Cuando un solucionador de DNS recibe una respuesta firmada, puede verificar que los datos provienen del servidor de nombres real y no fueron alterados durante el tránsito. Esto crea una cadena de confianza desde los servidores DNS raíz hasta su dominio específico..
lo que se detiene:
- Envenenamiento y suplantación de caché de DNS (Las respuestas DNS falsificadas se rechazan porque carecen de firmas válidas)
- Ataques de intermediario a las respuestas DNS
- Falsificación de respuestas de atacantes que se hacen pasar por servidores autorizados
En qué no ayudará (y esto importa tanto):
- Ataques DDoS (DNSSEC autentica, no filtra el tráfico)
- Confidencialidad de los datos (Las consultas de DNS permanecen visibles para cualquiera que esté mirando la red.; DNSSEC firma pero no cifra)
- Phishing a través de dominios similares (el dominio de un estafador también puede tener DNSSEC perfectamente válido)
- Túnel DNS (DNSSEC valida registros, no el contenido codificado dentro de las consultas)
- Servidores autorizados comprometidos (si la fuente misma es pirateada, DNSSEC firma fielmente los datos incorrectos)
En pocas palabras: DNSSEC es una capa necesaria pero no una solución completa. Cierra una vulnerabilidad específica y deja varias otras abiertas.
Casi nadie usa DNSSEC
A pesar de estar disponible durante más de una década, solamente 4.27% de dominios tener DNSSEC habilitado globalmente (DNSChkr, febrero 2026). Eso es 10.3 millones de 240 millón. Algunos países europeos como Suecia y Dinamarca superan 50%, pero la tasa de validación promedio global se sitúa en apenas 35.4%. ¿Por qué tan bajo?? La mayoría de los propietarios de sitios web no pueden habilitarlo ellos mismos. Es una decisión del lado del proveedor. No hay ningún indicador de confianza visible en los navegadores, para que nadie lo exija. Y aquí está el truco: DNSSEC mal configurado es peor que no tener DNSSEC. Provoca un fallo total del dominio. (Errores de SERVFAIL) en lugar de fallar con gracia.
los “DNS seguro” Estafa de phishing dirigida a propietarios de sitios web
Lo que hace que esta estafa sea inteligente es el cebo. Explotó el conocimiento de DNSSEC para robar credenciales. Así es cómo.
primero, Los estafadores robaron registros de WHOIS, Direcciones IP, y encabezados HTTP para identificar el proveedor de alojamiento de cada objetivo. Luego enviaron correos electrónicos de phishing haciéndose pasar por ese proveedor., ofreciendo un “Actualización gratuita de DNS básico a DNSSEC.” El mensaje sonaba real.: “Estamos actualizando su DNS de dominio para algo aún mejor, libremente!”
Al hacer clic en el enlace se abrió un falso. “Asistente de actualización” que coincidiera con la marca del proveedor de alojamiento. Logotipos correctos, combinación de colores correcta, las obras. UNA “Cómo utilizar este asistente” El botón guió a las víctimas a ingresar sus credenciales de WordPress. Después del envío, mensajes de progreso falsos simulados “firma de archivos” y “actualizaciones del sistema” antes de que la página terminara con un 404 error o redirección sospechosa.
El resultado: Los atacantes capturaron las contraseñas de administrador de WordPress.. Sin autenticación de dos factores, obtuvieron el control total del sitio web de la víctima.
¿Quién fue suplantado?? WordPress.com, Namecheap, HostGator, y Microsoft Azure. Cada página de phishing se personaliza automáticamente utilizando parámetros de URL codificados en base64, coincidir con el proveedor real del objetivo.
¿Ha desaparecido este patrón de ataque?? De nada. El DNS y el phishing con temas de seguridad siguen siendo comunes porque crean urgencia (“tu dominio esta en riesgo”) y perseguir a los propietarios de sitios web que tienden a tener credenciales valiosas.
El panorama de amenazas al DNS en 2026
Honestamente, Los ataques DNS no se están desacelerando. estan escalando. Cloudflare mitigado 47.1 millones de ataques DDoS en 2025, una 121% aumentar sobre 2024. Los ataques de amplificación de DNS surgieron específicamente por 340%, Impulsado por un número creciente de solucionadores de DNS abiertos que están siendo abusados como multiplicadores de tráfico..
Algunos desarrollos a los que vale la pena prestar atención:
- Patos Sentados sigue activo. Documentado por primera vez en 2024, Esta técnica de secuestro de DNS explota “delegación coja” configuraciones erróneas. Ha estado activo desde 2018 y permanece sin parches en cientos de miles de dominios. Los grupos de amenazas rotan los dominios secuestrados cada vez 30-60 dias, haciendo la detección más difícil
- La IA está acelerando la sofisticación de los ataques. Según Heimdal Seguridad, 85% de los profesionales de la seguridad atribuyen el aumento de los ataques al DNS a que los actores de amenazas utilizan IA generativa para el reconocimiento, generación de contenido de phishing, y automatización de ataques
- Envenenamiento de DNS patrocinado por el estado. Los vinculados a China “Panda evasivo” El grupo APT utilizó envenenamiento de caché DNS entre 2022 y 2024 para entregar la puerta trasera MgBot, manipulando cómo las víctimas’ sistemas resueltos dominios legítimos
- UNIR 9 vulnerabilidades. CVE-2025-40778 y CVE-2025-40780, revelado en octubre 2025, servidores DNS expuestos que ejecutan BIND 9 (el software de servidor DNS más utilizado) almacenar en caché el envenenamiento. Hay parches disponibles pero la adopción lleva tiempo
Incluso el NIST se dio cuenta. Publicaron SP 800-81r3 en marzo. 2026, la primera actualización de su guía de seguridad DNS en 13 años. El nuevo marco trata al DNS como una capa de aplicación de seguridad activa y exige DNS cifrado., DNS protector, y registro forense para EE. UU.. agencias federales.
Cómo proteger su sitio web y a sus visitantes
Ninguna casilla de verificación soluciona la seguridad DNS. Se necesita una combinación de medidas técnicas y concienciación.. Estos pasos comienzan con las acciones de mayor impacto que cualquier propietario de un sitio puede realizar en este momento..
Primero bloquee sus cuentas de alojamiento y dominio
Éste es el paso más importante, y no requiere ningún conocimiento técnico. La estafa de phishing DNSSEC funcionó porque las víctimas ingresaron credenciales reales en una página falsa. Tres cosas detienen eso:
- Habilitar Autenticación de dos factores en cada hosting, registrador de dominios, y cuenta CMS. Teclas de hardware (YubiKey, Titán) son mas fuertes. Las aplicaciones de autenticación son las segundas mejores. Los códigos SMS son mejores que nada
- Utilice un administrador de contraseñas. No completará automáticamente las credenciales en dominios de phishing porque la URL no coincide. Ese desajuste es tu advertencia automática.
- Nunca hagas clic en DNS o seguridad “potenciar” enlaces en correos electrónicos. Inicie sesión en el panel de su proveedor directamente escribiendo la URL usted mismo. Si existe una mejora real, estará ahí
Cambie a un solucionador de DNS seguro
Su solucionador de DNS predeterminado, generalmente asignado por su ISP, a menudo carece de funciones de seguridad modernas. El cambio tarda unos dos minutos y mejora inmediatamente tanto la privacidad como la protección..
- Flama de nube 1.1.1.1: El solucionador más rápido en 72% de ubicaciones probadas. Privacidad auditada anualmente por KPMG (4décimo año consecutivo). Soporta DoH y DoT. Usar 1.1.1.2 para bloqueo de malware incorporado
- cuádruple9 9.9.9.9: organización suiza sin fines de lucro, sin registro de IP. Bloquea dominios maliciosos conocidos de forma predeterminada, atractivo 96.66% en pruebas independientes (junio 2025). 259 ubicaciones de servidores en 106 países
- Google 8.8.8.8: Infraestructura global confiable con tiempo de actividad constante. Los datos de las consultas pueden conservarse durante más tiempo que las alternativas centradas en la privacidad según la política de privacidad general de Google.
Habilite DNSSEC en su dominio
Compruebe si su registrador y proveedor de alojamiento soporte DNSSEC. La mayoría de los registradores importantes (Flama de nube, Namecheap, Dominios de Google) ofrecer activación con un solo clic. Si su registrador lo admite pero su hosting no, es posible que necesites administrar DNS directamente a través de tu registrador.
Utilice protocolos DNS cifrados
La mayoría de la gente no se da cuenta de esto.: Las consultas DNS estándar viajan en texto plano.. Cualquiera en la ruta de la red puede leerlos y modificarlos.. Las alternativas cifradas solucionan ese problema:
- DNS sobre HTTPS (Departamento de Salud): Ejecuta consultas DNS a través de HTTPS cifrado en el puerto 443. Compatible con Firefox, Cromo, Borde, y la mayoría de los navegadores modernos
- DNS sobre TLS (Punto): Cifra el tráfico DNS en un puerto dedicado (853). Más transparente para los administradores que necesitan visibilidad de los patrones de tráfico DNS
- DNS sobre QUIC (DoQ): La opción más nueva. Combina cifrado con menor latencia. Aún en adopción temprana
Supervise su configuración de DNS
No espere a que los visitantes le digan que algo anda mal. Configure alertas para cambios de registros DNS a través de su registrador o un servicio de monitoreo. Si alguien modifica tu A, MX, o registros NS sin su conocimiento, quieres ver eso el mismo día, no semanas después. Las auditorías periódicas detectan modificaciones no autorizadas antes de que causen daños reales..
Mantenga la infraestructura actualizada
El enlace 9 vulnerabilidades de última hora 2025 son un recordatorio: El software del servidor DNS necesita parches como todo lo demás. Si ejecuta su propia infraestructura DNS, manténgase actualizado sobre los avisos de seguridad. si usas Alojamiento VPS o servidores dedicados, Confirme que su proveedor parchee sus solucionadores de DNS lo antes posible..
Cómo comprobar si ha sido atacado
Los ataques DNS no siempre se anuncian solos. Su sitio podría estar redirigiendo a los visitantes a una página de phishing en este momento y usted no lo sabría a menos que alguien lo informara.. Aquí se explica cómo verificar.
Verifique que sus registros DNS no hayan cambiado
Inicie sesión en su registrador de dominio y compare su A actual, AAAAA, MX, y registros NS contra lo que deberían ser. Si no recuerdas los valores correctos, consulte con el soporte de su proveedor de hosting. Cualquier registro que no haya cambiado es una señal de alerta.
Verificar acceso no autorizado
Revise el historial de inicio de sesión en su panel de control de hosting, registrador de dominios, y administrador de WordPress. Busque inicios de sesión desde direcciones IP o ubicaciones desconocidas. Si su proveedor de hosting no ofrece historial de inicio de sesión, esa es una razón para considerar cambiar a uno que sí lo haga.
Pruebe la resolución DNS de su dominio
Consulta tu dominio desde múltiples ubicaciones usando una herramienta como DNSChecker.org. Comprueba docenas de solucionadores globales a la vez.. Si los resultados difieren entre ubicaciones, alguien puede haber envenenado un caché en algún lugar de la cadena.
Escanear en busca de malware de DNS local
Algunos ataques de DNS no tienen como objetivo su dominio en absoluto. En lugar, modifican la configuración DNS de su dispositivo local o la configuración del enrutador. Si su computadora lo ha estado redirigiendo a direcciones incorrectas, o la configuración DNS de su enrutador se cambió sin su conocimiento, Es probable que haya malware involucrado. Cazador de espías 5 (Ventanas) o SpyHunter para Mac puede detectar cambiadores de DNS y secuestradores de navegador que redirigen silenciosamente su tráfico a través de solucionadores maliciosos..
Consulte también el panel de administración de su enrutador.. Mira la configuración del servidor DNS.. Si apuntan a algo que no sea los servidores de su ISP o un solucionador público conocido (1.1.1.1, 8.8.8.8, 9.9.9.9), reinícielos inmediatamente y actualice el firmware de su enrutador.
Preguntas frecuentes
¿Cuál es la diferencia entre DNS y DNSSEC??
Piense en DNS (sistema de nombres de dominio) como directorio telefónico de internet: traduce nombres de dominio en direcciones IP. El problema es que fue diseñado en la década de 1980 sin seguridad incorporada.. DNSSEC agrega firmas criptográficas a los registros DNS para que los resolutores puedan verificar que los datos no hayan sido manipulados durante el tránsito. DNS te dice la dirección; DNSSEC confirma que la dirección es legítima.
¿Puede DNSSEC prevenir todos los ataques DNS??
Ni siquiera cerca. DNSSEC previene la suplantación de DNS y el envenenamiento de la caché al autenticar las respuestas de DNS. Eso es. No detendrá los ataques DDoS, Secuestro de DNS a través de cuentas comprometidas, Túnel DNS, o phishing con dominios similares registrados correctamente. Necesita múltiples capas de protección trabajando juntas. Resolvedores de DNS cifrados, autenticación fuerte, y el monitoreo llenan los vacíos que DNSSEC deja abiertos.
¿Cómo sé si mi dominio tiene DNSSEC habilitado??
Dos herramientas gratuitas lo hacen fácil. Analizador DNSSEC de Verisign y DNSViz ambos le permiten ingresar su dominio y ver instantáneamente si DNSSEC está activo, si la cadena de confianza es válida, y cualquier problema de configuración. También puede consultar el panel de control de su registrador.. El estado de DNSSEC suele estar en la configuración de DNS. Si no está en la lista, Es posible que su registrador aún no lo admita.
¿Debería preocuparme por el “Actualización segura de DNS” correos electrónicos de phishing?
Si recibe un correo electrónico ofreciendo una “DNS gratis” o “Actualización DNSSEC,” no hagas clic en ningún enlace. Ningún host legítimo envía correos electrónicos de actualización no solicitados que le soliciten su contraseña de CMS. Vaya al sitio web de su proveedor escribiendo la dirección manualmente y verifique las notificaciones reales en el panel. En caso de duda, contactar con soporte a través de canales oficiales. La campaña de Sophos se hizo pasar por Namecheap, HostGator, y Azure, entonces el reconocimiento de marca por sí solo no es prueba de legitimidad.
Veredicto final
Nadie se despierta pensando “Debería comprobar la seguridad de mi DNS hoy.” Eso es exactamente con lo que cuentan los atacantes. Cuando el DNS falla, las consecuencias golpean fuerte: datos de visitantes robados, Los rankings de búsqueda se desplomaron, reputación en ruinas. Ese 90% La tasa de ataque de IDC/EfficientIP no es una táctica de miedo.. Es la realidad de cuán agresivamente se ataca la infraestructura DNS.
Habilite DNSSEC si su registrador lo admite. A 4.27% adopción global, Estarás por delante de 95% de internet. Pero no te detengas ahí. Cambie a un solucionador seguro como Cloudflare 1.1.1.1 o Quad9 9.9.9.9, activar DNS cifrado (DoH o DoT), y bloquea tus cuentas de hosting con autenticación de dos factores. Ninguno de estos toma más de unos minutos.. Juntos, Te convierten en un objetivo mucho más difícil..
Recuerda el “DNS seguro” estafa de phishing? Los atacantes utilizaron la conciencia de seguridad como arma. Contaban con que los propietarios de sitios web querían hacer lo correcto. Así que mantén esta regla: nunca actúe sobre un correo electrónico de seguridad haciendo clic en sus enlaces. Vaya usted mismo al panel de control de su proveedor. Si la actualización es real, estará justo ahí.
Para obtener más información sobre cómo elegir un proveedor de hosting con sólidas funciones de seguridad, explora nuestras guías para el mejores proveedores de alojamiento en la nube y opciones de servidor dedicado. Si está ejecutando un sitio de WordPress y desea que se administre la seguridad por usted, nuestro alojamiento WordPress gestionado La comparación cubre proveedores con protección DNS incorporada y actualizaciones automáticas..