Qué es un ataque MITM y cómo protegerte del "hombre en el medio"

MITM (Man in the Middle, "hombre en el medio") es una técnica de interceptación de datos en la que un atacante se coloca silenciosamente entre dos partes de una comunicación. El usuario piensa que se conecta directamente a un sitio web, una aplicación u otro dispositivo, pero parte del tráfico pasa por un nodo controlado por el atacante. Esta ataque MITM permite no solo leer la información transmitida, sino en algunos casos modificarla: suplantar páginas, interceptar contraseñas, redirigir al usuario o manipular los datos intercambiados.

Las MITM son especialmente peligrosas en redes locales poco seguras, puntos de acceso Wi-Fi públicos y situaciones donde se ignoran las advertencias de certificados del navegador. Sin embargo, las tecnologías modernas de cifrado, como HTTPS y TLS, dificultan mucho la ejecución de estos ataques.

A continuación, explicamos en qué consiste el ataque "hombre en el medio", cómo se inserta un atacante en la conexión, los métodos más usados para interceptar el tráfico y cómo protegerse frente a MITM.

¿Qué es un ataque MITM explicado de forma sencilla?

Un ataque MITM ocurre cuando un atacante logra situarse entre el usuario y el recurso con el que este intercambia datos. En vez de una conexión directa, la información pasa por un punto intermedio controlado por el atacante.

En una situación normal, el usuario envía una solicitud al sitio web y el servidor responde. En un ataque MITM, aparece un eslabón adicional: el usuario envía los datos al atacante, quien los reenvía al servidor. La respuesta sigue el mismo camino de regreso.

La característica principal de este ataque es que ambas partes pueden no notar la intervención. El usuario cree estar en el sitio legítimo y el servidor recibe solicitudes que parecen provenientes de un cliente genuino. Si la conexión no está protegida, el atacante puede ver datos transmitidos, como inicios de sesión, contraseñas, contenido de mensajes, direcciones de sitios visitados y otros parámetros.

En algunos escenarios, el atacante no se limita a leer el tráfico, sino que también puede modificarlo antes de reenviarlo: alterar enlaces, redirigir al usuario, cambiar el contenido del servidor o intentar obtener información adicional.

Sin embargo, una MITM no significa que cualquiera en la misma red vea automáticamente todo el tráfico. El atacante debe primero lograr que los datos pasen por su dispositivo o conexión controlada.

Por eso, los ataques MITM suelen estar asociados a redes locales, puntos Wi-Fi falsos, suplantación de direcciones y otros métodos que permiten modificar la ruta entre el usuario y el servidor.

¿Cómo funciona el ataque "hombre en el medio"?

Para ejecutar un ataque MITM, el atacante debe insertarse en el canal de comunicación entre el usuario y el servicio objetivo. Desde ese momento, el tráfico se desvía por el punto intermedio, aunque para ambas partes parezca una conexión normal.

¿Cómo se coloca el atacante entre el usuario y el servidor?

El método depende de la red y el tipo de ataque. En una red local, el atacante puede manipular datos del sistema para que los dispositivos envíen parte del tráfico a través de su ordenador. En otro caso, el usuario puede conectarse a un punto Wi-Fi falso que simula ser una red pública conocida.

Así se forma la cadena:

• usuario → dispositivo atacante → servidor legítimo

Para el servidor, las solicitudes parecen normales porque el atacante solo las reenvía. El usuario también recibe respuestas legítimas, por lo que el sitio o la app pueden seguir funcionando con normalidad.

Intercepción y modificación de datos transmitidos

Si los datos se transmiten sin cifrado fiable, el atacante puede analizar el contenido del tráfico. Según el protocolo y configuración de la red, esto puede incluir parámetros de solicitud, contenido de páginas, identificadores de sesión, etc.

MITM no solo se usa para leer información. Si el atacante puede modificar el tráfico, puede cambiar la respuesta del servidor antes de que llegue al usuario. Por ejemplo, una página solicitada puede ser modificada en tránsito sin que el servidor lo sepa.

¿Por qué la víctima puede no notar el ataque?

La peligrosidad de MITM reside en que la transmisión de datos suele continuar con normalidad. El sitio se abre, las aplicaciones responden, el Internet funciona, por lo que no hay señales claras de intervención. Al atacante le conviene reenviar el tráfico con precisión y alterar solo lo necesario. Si la conexión se interrumpe o las páginas dejan de cargar, las probabilidades de descubrir el ataque aumentan.

El cifrado moderno limita fuertemente estas posibilidades. Si el usuario establece una conexión HTTPS segura, el dispositivo intermedio solo puede ver que hay transmisión de datos y ciertos parámetros técnicos, pero no el contenido cifrado.

Por eso, en la práctica, el ataque MITM suele implicar engañar al dispositivo, cambiar la ruta del tráfico o hacer que el usuario confíe en una conexión controlada por el atacante.

Principales tipos de ataques MITM

El ataque MITM puede ejecutarse de varias formas. El objetivo siempre es hacer que el tráfico pase por el punto controlado por el atacante o redirigir al usuario a donde no pretendía ir.

ARP spoofing

ARP spoofing es uno de los métodos más conocidos para realizar MITM en una red local. El protocolo ARP asocia las direcciones IP de los dispositivos con sus direcciones MAC.

El atacante envía mensajes ARP falsos en la red, convenciendo a los dispositivos de que su ordenador está vinculado a la dirección del router. Al tiempo, el router cree que el ordenador del atacante es el del usuario. Así, parte del tráfico pasa por el dispositivo intermedio:

• ordenador del usuario → dispositivo atacante → router

La conexión a Internet puede seguir funcionando, por lo que el usuario no nota el cambio. El atacante puede analizar el tráfico y, si no hay cifrado, leer o modificar su contenido.

ARP spoofing funciona principalmente dentro de una misma red local, por lo que el riesgo es mayor en redes corporativas, domésticas y públicas poco protegidas a las que el atacante ya tiene acceso.

DNS spoofing

El sistema DNS traduce los nombres de dominio que usamos habitualmente en direcciones IP de los servidores. Cuando el usuario introduce un dominio, el sistema averigua a qué dirección conectarse.

En un DNS spoofing, el atacante intenta falsificar esa respuesta. Así, el usuario escribe la dirección correcta, pero recibe una IP falsa y se conecta a otro servidor. El problema es que la barra de direcciones sigue mostrando el dominio conocido, y el recurso falso puede imitar visualmente al sitio legítimo.

No obstante, HTTPS moderno complica este tipo de ataque, ya que si el servidor falso no puede proporcionar un certificado válido, el navegador advertirá sobre problemas de seguridad en la conexión.

Ataque MITM en Wi-Fi público

Las redes Wi-Fi abiertas suelen ser el ejemplo típico de condiciones propicias para MITM. El riesgo no proviene solo del hecho de usar Wi-Fi, sino de no saber quién gestiona el punto de acceso y si está bien configurado.

El atacante puede crear una red con un nombre similar al de un café, hotel o aeropuerto. Si el usuario se conecta, todo su tráfico pasa por el equipo del atacante. Otra variante es intervenir en la red local mediante ARP spoofing.

Las conexiones HTTPS protegidas impiden leer directamente el contenido de las páginas, contraseñas o mensajes. Sin embargo, protocolos sin cifrar y errores como ignorar advertencias de certificados multiplican el riesgo.

Conectarse a Wi-Fi público no implica automáticamente que los datos se intercepten. El peligro real depende de cómo esté construida la red, qué protocolos se usen y si la app o el navegador verifican correctamente la conexión segura.

¿HTTPS protege contra el ataque MITM?

HTTPS es una de las principales tecnologías que protege al usuario frente a la interceptación de datos en ataques MITM. Utiliza cifrado TLS para que la información entre navegador y servidor viaje encriptada.

Si el atacante se sitúa entre el usuario y el sitio, puede ver que hay una conexión y algunos parámetros técnicos, pero no debería poder leer el contenido transmitido. Inicios de sesión, contraseñas, mensajes y páginas permanecen cifrados dentro de una conexión HTTPS correctamente establecida.

Para más detalles sobre cómo el navegador y el servidor establecen una conexión segura, consulta el artículo TLS 1.3: la evolución del protocolo que hace HTTPS más seguro y rápido.

¿Cómo protegen los certificados la conexión?

El cifrado por sí solo no es suficiente: el navegador debe asegurarse de que realmente se conecta al servidor correcto. Para ello, se usan certificados digitales que vinculan el dominio del sitio a una clave criptográfica.

Al abrir un sitio HTTPS, el navegador verifica el certificado: a quién se emitió, si ha caducado y si la entidad emisora es de confianza. Si todo está bien, se establece la conexión segura.

Esto dificulta el ataque MITM clásico, ya que el atacante no puede insertar su propio servidor sin un certificado válido para el dominio ajeno.

¿Por qué no debes ignorar las advertencias del navegador?

Si el navegador no puede verificar la autenticidad del certificado, muestra una advertencia sobre la conexión insegura. Puede deberse a una mala configuración, certificado caducado o intento de suplantación.

Ignorar este tipo de advertencias es especialmente peligroso al introducir contraseñas, datos bancarios o información confidencial. El usuario estaría renunciando a una de las principales medidas de protección contra la suplantación del servidor.

Por eso, el botón de "continuar de todos modos" no es un simple trámite. En una red desconocida o un sitio importante, una advertencia de certificado es motivo para detenerse y revisar la dirección del recurso.

¿Se puede interceptar el tráfico HTTPS?

Estar entre el usuario y el servidor no permite descifrar HTTPS por sí mismo. Las versiones modernas de TLS están diseñadas para que el nodo intermedio no pueda obtener la clave de cifrado y leer el tráfico.

Sin embargo, hay situaciones en las que el tráfico cifrado puede ser descifrado, como si en el dispositivo está instalado un certificado controlado por terceros y considerado de confianza. Esto se usa en algunas redes corporativas para inspeccionar tráfico, pero también puede ser aprovechado para interceptarlo.

La protección pierde sentido si el usuario abre un sitio de phishing con HTTPS correcto. El candado solo significa que los datos se cifran entre el navegador y ese servidor, no que el servidor sea confiable.

Por ello, HTTPS reduce considerablemente el riesgo de MITM, pero es solo una parte del sistema de seguridad. Es esencial comprobar la dirección del sitio, prestar atención a las advertencias del navegador y no instalar certificados desconocidos.

Cómo detectar y protegerse de un ataque MITM

Detectar un MITM por una sola señal es difícil. A menudo, Internet funciona con normalidad y el atacante evita dejar huellas. Por tanto, la protección se basa tanto en la detección como en reducir el riesgo de interceptación.

Presta atención a los errores de certificados

Uno de los indicios más claros de una posible suplantación es una advertencia del navegador sobre el certificado. Puede ser un error común, pero a veces señala un intento de interferencia en la conexión HTTPS.

Es especialmente sospechoso si ocurre en un servicio conocido que normalmente no presenta problemas. En ese caso, es mejor no introducir contraseñas ni datos de pago y no continuar hasta aclarar la causa. También comprueba siempre la dirección del sitio: los sitios de phishing pueden tener certificados válidos, pero usar dominios parecidos a los legítimos.

Utiliza redes Wi-Fi públicas con precaución

En lugares públicos, no te conectes a puntos de acceso desconocidos solo por su nombre. Si puedes, pregunta a los empleados el nombre oficial de la red.

Para acciones críticas -como banca online, cuentas corporativas o documentos confidenciales- es más seguro usar Internet móvil o una red de confianza.

Consulta más consejos y riesgos en Cómo proteger tu información al usar Wi-Fi público en 2025.

Usa HTTPS y aplicaciones modernas

La mayoría de los sitios y apps actuales usan TLS, por lo que la simple lectura del tráfico es mucho más difícil. Es importante no desactivar las protecciones del navegador y mantener las aplicaciones actualizadas. Programas y protocolos antiguos pueden usar cifrado obsoleto o transmitir datos en texto claro, lo que expone mucho más si hay un atacante en la red.

Activa la autenticación en dos pasos

Si un atacante consigue una contraseña, el segundo factor puede impedir el acceso a la cuenta. Aplicaciones autenticadoras y llaves de seguridad físicas son especialmente útiles. La autenticación en dos pasos no evita el MITM por sí sola, pero reduce el impacto de una filtración de credenciales. Algunos ataques avanzados pueden interceptar códigos de un solo uso, por lo que los métodos vinculados a un dominio concreto, como llaves físicas y Passkeys, son los más resistentes.

La protección práctica frente al MITM combina varios niveles: cifrado de la conexión, verificación de certificados, precaución en redes desconocidas y protección extra de cuentas. Cuanto menos ignores o desactives estos mecanismos, más difícil será que un atacante se infiltre en tus datos.

Conclusión

El ataque MITM se basa en que el atacante se sitúa entre el usuario y el servidor, controlando el tráfico entre ambos. Para ello, puede usar ARP spoofing, DNS spoofing, puntos Wi-Fi falsos y otros métodos para manipular la conexión.

La principal defensa contra el ataque "hombre en el medio" es un HTTPS bien configurado con TLS, la verificación de certificados y atender a las advertencias del navegador. Incluso si el atacante consigue redirigir el tráfico, el cifrado moderno debería impedirle leer el contenido protegido.

El usuario debe no ignorar errores de certificados, comprobar la dirección del sitio, ser cauteloso en redes Wi-Fi desconocidas y proteger sus cuentas con medidas adicionales. Estas acciones no requieren conocimientos técnicos, pero reducen mucho el riesgo de que un MITM termine en robo de datos o cuentas.