Los incidentes de secuestro BGP van en aumento mientras la adopción de RPKI sigue rezagada donde más importa

A mediados de 2026, el 67,43% de las rutas de internet anunciadas contaban con Route Origin Authorizations válidas, y el 70,3% del tráfico global circulaba por rutas validadas por RPKI. En apariencia, es un avance infraestructural genuino: Resource Public Key Infrastructure, el sistema criptográfico diseñado para impedir que las redes reivindiquen falsamente la titularidad de bloques de direcciones IP, ha pasado de ser una buena práctica de nicho a una adopción mayoritaria en menos de una década. Sin embargo, Qrator Labs registró siete fugas de rutas y al menos un secuestro BGP significativo solo en el primer trimestre de 2026, y los operadores de red informan de más de 6.000 prefijos con RPKI inválido anunciados cualquier día del año. La adopción ha subido. Los incidentes no han desaparecido. Estos dos hechos no son en realidad una contradicción, y entender por qué es fundamental para cualquiera que gestione infraestructura que depende de que la capa de enrutamiento de internet se comporte de forma honesta.

Qué soluciona realmente RPKI — y qué no

Border Gateway Protocol, el sistema que permite a las redes anunciar "soy el titular de este bloque de direcciones IP, enruta el tráfico a través de mí", fue construido en una era que asumía la buena fe entre operadores. No tiene autenticación integrada: cualquier red puede anunciar la titularidad de cualquier bloque de direcciones, y las redes vecinas generalmente aceptan el anuncio salvo que algo llame su atención. RPKI resuelve la versión más básica de este problema: una red firma criptográficamente una Route Origin Authorization (ROA) que acredita que está autorizada a anunciar un prefijo específico, y otras redes pueden validar esa firma antes de aceptar la ruta.

Lo que la validación básica de ROA de RPKI no soluciona es la falsificación de rutas combinada con anuncios de prefijos más específicos. Este es el mecanismo detrás de la mayoría de los incidentes que siguen produciéndose en redes aparentemente bien protegidas en 2026: un atacante falsifica el número de AS de origen para que coincida con una ROA legítima y, a continuación, anuncia un subprefijo más específico que el legítimo. El algoritmo de selección de rutas de BGP prefiere las rutas más específicas de forma casi incondicional —es un principio de diseño central con décadas de antigüedad, no un error—, por lo que el anuncio falsificado e ilegítimo gana la decisión de enrutamiento incluso en redes que aplican Route Origin Validation (ROV) de manual. La ROA pasa la verificación. El prefijo simplemente es incorrecto de una manera que ROV por sí solo no detecta.

Por qué la solución a este problema está estancada

La respuesta técnica al secuestro de subprefijos mediante falsificación de origen existe: Autonomous System Provider Authorization (ASPA), un objeto RPKI más reciente que permite a una red declarar criptográficamente sus proveedores upstream legítimos, cerrando una categoría de ataques de falsificación de rutas que la validación exclusiva de ROA no puede atajar. El problema es el despliegue: a mediados de 2026, los objetos ASPA cubren apenas el 2,54% de los sistemas autónomos a nivel mundial. Requiere que todas las redes en una ruta participen para que la protección sea efectiva, lo que lo convierte en un problema clásico de coordinación: cualquier red individual obtiene un beneficio limitado al desplegar ASPA hasta que un número suficiente de sus vecinos también lo haga, por lo que la adopción avanza a paso de tortuga aunque la tecnología en sí sea madura y esté estandarizada.

También existe una razón más sencilla y menos técnica por la que los incidentes persisten: la gran mayoría de los anuncios con RPKI inválido —más de 6.000 prefijos diarios— no son obra de atacantes maliciosos probando sofisticadas técnicas de falsificación de origen, sino errores de configuración, erratas y ROAs obsoletas de operadores que configuraron RPKI una vez y nunca lo revisaron a medida que su red evolucionaba. Esos errores rutinarios generan exactamente el tipo de ruido de fondo que dificulta detectar el número menor de secuestros genuinamente maliciosos mezclados entre ellos.

Qué significa esto para quienes gestionan infraestructura en producción

Si su organización hace peering directamente con proveedores upstream o gestiona su propio AS, Route Origin Validation es el mínimo exigible en este momento: desplegarlo ya no es una venta difícil, y la mayoría de los grandes proveedores de tránsito lo soportan de forma nativa. Pero trate ROV como un suelo, no como un techo. Monitorice sus propios prefijos en busca de anuncios de subprefijos más específicos no autorizados mediante un servicio de monitorización de rutas —varios ofrecen niveles gratuitos específicamente para esto—, ya que un secuestro de subprefijo con falsificación de origen contra su espacio de direcciones superará la validación ROV sin problemas y no activará las alertas que la mayoría de los equipos asume que ya los protegen. Y si está evaluando un proveedor de tránsito o cloud parcialmente por su resiliencia de red, pregunte específicamente si han desplegado ASPA: con una cobertura global inferior al 3%, un "sí" sigue siendo un diferenciador real, no una casilla que cualquiera puede marcar.