Sesenta y cinco mil direcciones, un dominio falso: el riesgo silencioso del espacio IPv4 legacy

En 1991, una consultora de ingeniería de Akron (Ohio) recibió el bloque 147.50.0.0/16: 65.536 direcciones IPv4 legacy, registradas en una época anterior a la existencia de contratos, cuotas o registros regionales de Internet. Veinte años después, alguien se dio cuenta de que el bloque estaba inactivo.

Registró un dominio de apariencia similar a nombre de la persona de contacto que figuraba en aquel registro de dos décadas de antigüedad. El 12 de diciembre de 2011 consiguió que el registro cambiara el correo electrónico de contacto por una dirección bajo su control. Cuatro días después, el 16 de diciembre, todo el /16 estaba siendo anunciado por un AS del que el verdadero titular nunca había oído hablar. Nadie lo detectó en el registro. Lo detectó Spamhaus en 2012, cuando empezó a salir spam desde ese rango.

Los investigadores antiabuso llevan más de una década documentando este patrón, y sigue funcionando por una sola razón: miles de los bloques más antiguos de Internet ya no tienen a nadie detrás.

Qué son los bloques IPv4 legacy y por qué se comportan de otra manera

Los bloques IPv4 legacy son rangos de direcciones asignados por InterNIC y sus predecesores antes de que existiera el sistema de RIR: no tienen contrato ni cuotas y, en gran medida, quedan fuera de la regulación de los RIR.

ARIN heredó la mayor parte de esos registros cuando se constituyó en diciembre de 1997 y decidió desde el principio seguir registrándolos sin exigir a los titulares originales que firmaran un acuerdo ni pagaran cuotas. El proyecto ERX entre RIR, finalizado en febrero de 2005, trasladó después los registros de titulares de otras regiones a RIPE NCC, APNIC y LACNIC, de modo que hoy existe espacio legacy en todas las regiones, aunque la región de ARIN concentra, con diferencia, la mayor parte.

Tres características distinguen a estos bloques. Se asignaron cuando no existían normas, y su estatus independiente los ha mantenido desde entonces en gran medida al margen de la regulación. No tienen contrato ni cuotas, lo que significa que no pueden caducar por impago y pueden permanecer intactos, y olvidados, durante décadas. Y, en conjunto, son enormes.

Cuando los últimos bloques IPv4 disponibles se entregaron a los RIR en febrero de 2011, el segmento del «Central Registry» anterior a los RIR seguía representando aproximadamente el 35% de todo el espacio de direcciones IPv4: unos 1.500 millones de direcciones, el equivalente a unos 90 de los 256 bloques /8, asignados en su mayoría a organizaciones de Norteamérica. Ese es el espacio que hoy se conoce como legacy.

Lo que merece una reflexión detenida es el estado de higiene del registro dentro de ese espacio. A agosto de 2026, hay unos 17.000 bloques legacy registrados en el Whois de ARIN, y aproximadamente la mitad no tiene ningún Point of Contact o tiene uno que ARIN nunca ha podido verificar. Solo el 11% tiene un registro de contacto validado actualmente. Otro 20% tiene un contacto registrado, pero con información incompleta.

Compárelo con las organizaciones cuyos recursos están bajo un acuerdo con ARIN: el 76% tiene un contacto validado y ninguna tiene información de contacto incompleta. Como señala ARIN, la diferencia no está en el papeleo, sino en que alguien revisa realmente los datos de contacto y los actualiza.

Que falte un contacto no demuestra que el bloque esté abandonado: muchos de estos bloques siguen cumpliendo discretamente una función útil. Los peligrosos son los que, a la vez, no están verificados en el registro y no aparecen en la tabla de enrutamiento, porque esa combinación es exactamente lo que buscan los atacantes.

Cómo funciona el secuestro de IP y cómo hacer que fracase

El método tiene dos vías.

La primera consiste en hacerse con el propio registro: reactivar el dominio caducado que hay detrás del correo de contacto, o volver a registrar el nombre del titular desaparecido, e interceptar precisamente los mensajes de los que dependen los procesos de recuperación del registro. Eso es lo que le ocurrió al /16 de Akron.

La segunda prescinde por completo del registro y es un secuestro de BGP clásico: una Letter of Authorization falsificada convence a un proveedor de tránsito para que anuncie el bloque basándose en una documentación que solo aparenta ser legítima.

La primera vía se ha estrechado desde aquel caso de 2011, y conviene saber exactamente cuánto. A mediados de 2025, ARIN suspendió el método basado en correo electrónico para aprobar solicitudes de vinculación de Point of Contact y, con la versión de software de enero de 2026, trasladó la vinculación de POC a un flujo totalmente autenticado y basado en tickets dentro de ARIN Online. Sin correos de aprobación ni URL de autorización: las aprobaciones se realizan ahora dentro de cuentas autenticadas y cada solicitud genera un ticket visible y trazable.

Eso cierra la versión automatizada del ataque de 2011. Pero lea con atención la cláusula de excepción. Si el Point of Contact no tiene ningún usuario vinculado, el ticket se deriva al Registration Services Department de ARIN, que se coordina con los contactos Admin o Tech del Org ID. Si no hay nadie en el registro, que es exactamente la situación de la mitad de los bloques legacy, todo vuelve a depender de una verificación manual. Y la vía de la LOA falsificada no se ve afectada por nada de esto.

Así que engañar al registro es ahora más difícil. Pero un registro desatendido sigue igual de expuesto.

Cómo evitar el secuestro de BGP de un bloque legacy

Tres contramedidas. Ninguna es cara y la primera es gratuita.

1. Valide su Point of Contact. Según la sección 3.6 del Number Resource Policy Manual de ARIN, cada contacto Admin, Tech, NOC y Abuse registrado recibe cada año un correo en el que se le pide que confirme que los datos siguen siendo correctos. Si la información es correcta, basta con un clic. Si nadie responde en 60 días, el registro se marca como no válido, y ese estado es visible en la base de datos pública: precisamente la señal que buscan los secuestradores.

Asocie el registro a una cuenta de rol supervisada en lugar del buzón de una persona, y proteja el buzón correspondiente. Y tenga en cuenta el mito que esto desmonta: actualizar sus datos de registro no requiere un Registration Services Agreement de ARIN. Un acuerdo solo es necesario para los servicios que lo exigen: RPKI, el IRR o determinados tipos de transferencia.

2. Ponga los recursos bajo acuerdo. ARIN ofreció el Legacy Registration Services Agreement desde el 11 de octubre de 2007 hasta el 31 de diciembre de 2023; ya no admite nuevos firmantes, y el límite de cuotas para legacy expiró con él. Hoy eso significa un RSA estándar, con las cuotas estándar del Registration Services Plan. Es el requisito previo para acceder a RPKI e IRR en la región de ARIN, lo que lo convierte en la puerta de entrada al tercer paso.

3. Publique una Route Origin Authorization. Un ROA firmado hace que la vía de la LOA falsificada fracase en todas las redes que aplican la validación del origen de rutas, por muy convincente que sea la documentación.

Dos cifras muestran con honestidad cuánta protección aporta. A 26 de agosto de 2026, el 67,22% de los prefijos IPv4 de la tabla de enrutamiento global está cubierto por un ROA, pero en la región de ARIN la cifra es del 51,73%, la más baja de todos los RIR, frente al 75,14% de RIPE NCC y el 76,11% de APNIC. La región que concentra más espacio legacy es la que menos lo firma.

Y cobertura no es aplicación. Un estudio longitudinal de más de 28.000 AS concluyó que el 36,2% no implementa en absoluto la validación del origen de rutas y que solo el 12,3% logra una protección completa. La buena noticia es dónde se concentra la aplicación: las grandes redes de tránsito, como Lumen, Arelion, GTT, NTT, TATA, PCCW, Orange, AT&T y otras, filtran más del 95% de los prefijos inválidos según RPKI. Un secuestrador necesita que alguien transporte la ruta. Un ROA hace que los mayores operadores se nieguen.

La dimensión de negocio: secuestrados para venderlos

Los casos más llamativos no tienen nada que ver con el spam.

En mayo de 2024, Spamhaus publicó una investigación sobre un dominio legacy de 30 años de antigüedad que se había reactivado y utilizado para dar conectividad a bloques IP secuestrados. Los rangos afectados incluían /16 de empresas reales que siguen en activo, y los números de AS implicados conducían a un proveedor que opera en el arrendamiento de IP, lo que deja bastante claro el móvil: el espacio se tomó para arrendarlo. Uno de los titulares afectados, TransAlta, recuperó el control total de su /16 protegiéndolo mediante el servicio RPKI de ARIN. Es la contramedida descrita arriba, funcionando en un caso documentado.

La economía explica el esfuerzo. Un dominio caducado comprado por unos pocos miles de dólares puede otorgar el control de facto de un espacio de direcciones con un valor de siete cifras. Y la responsabilidad legal al otro lado de ese negocio ya está acreditada: en el caso Micfo, la fiscalía demostró la existencia de un esquema que obtuvo derechos sobre unas 757.760 direcciones IP con un valor de mercado de entre $9.85 millones y $14.4 millones, y en septiembre de 2023 un juez federal condenó al CEO de la empresa a cinco años de prisión. El Departamento de Justicia señaló que había ganado más de $3 millones vendiendo esos derechos en el mercado secundario antes de que se descubriera el esquema. El fraude de direcciones se persigue como fraude electrónico (wire fraud) y conlleva penas reales.

Esto trasciende a cualquier titular concreto, porque el espacio legacy vuelve a moverse, hacia transferencias, el arrendamiento de IPv4 y las tablas de enrutamiento, tras décadas de inactividad. Cada bloque secuestrado degrada los datos del registro en los que compradores y operadores se basan para su due diligence, contamina las fuentes de reputación de IP que se usan para filtrar tráfico y deja una reputación dañada a quien acabe siendo el responsable legítimo del bloque. Cuando los delincuentes venden direcciones IPv4 que nunca han tenido y las ofrecen en el mercado abierto junto al inventario legítimo, la due diligence se encarece para todos.

Un registro legacy inactivo es un riesgo para una infraestructura compartida.

Empiece por el paso que no cuesta nada

Si es titular de espacio legacy, inicie sesión y confirme que el contacto es real y está supervisado. Lleva minutos, no cuesta nada, no requiere ningún acuerdo y cierra la vía de ataque más antigua de las descritas en este artículo.

Después, averigüe cuánto vale realmente el bloque para usted. Esos miles de registros silenciosos son una oportunidad, no una sentencia: la mayoría solo necesita que alguien responda.

Descubra cuánto podría generar su bloque →

Preguntas frecuentes

¿Qué son las direcciones IPv4 legacy?

Las direcciones IPv4 legacy son bloques asignados por InterNIC y sus registros predecesores antes de que existiera el sistema de registros regionales de Internet. No tienen acuerdo de registro ni cuotas anuales, no pueden revocarse por impago y quedan en gran medida fuera de la regulación de los RIR. Representan aproximadamente el 35% del espacio total de direcciones IPv4, y la mayoría se asignó a organizaciones de Norteamérica.

¿Puede secuestrarse un bloque IP legacy?

Sí, y los bloques legacy son el objetivo preferido. Los atacantes buscan registros que, a la vez, no estén verificados en el registro y no aparezcan en la tabla de enrutamiento. O bien se hacen con el registro, reactivando el dominio caducado que hay detrás del correo de contacto o volviendo a registrar el nombre de un titular desaparecido, o bien prescinden del registro mediante una Letter of Authorization falsificada enviada a un proveedor de tránsito. Alrededor de la mitad de los aproximadamente 17.000 bloques legacy de ARIN no tiene un contacto verificado.

¿Cómo protejo un bloque IPv4 legacy?

En tres pasos. Valide su Point of Contact mediante la validación anual de ARIN: es gratuita, basta con un clic y no requiere ningún acuerdo. Asocie ese contacto a una cuenta de rol supervisada en lugar del buzón de una persona. Después, ponga los recursos bajo un Registration Services Agreement y publique una Route Origin Authorization, para que las redes que aplican la validación del origen de rutas descarten los anuncios no autorizados de su bloque, sea cual sea la documentación que los respalde.

¿Se puede arrendar o vender espacio IPv4 legacy?

Sí. Los bloques legacy pueden transferirse o arrendarse como cualquier otro recurso IPv4, y el espacio legacy está volviendo al mercado tras décadas de inactividad. En la práctica, unos datos de registro limpios son un requisito previo: compradores y arrendatarios realizan una due diligence a partir del Whois, y un registro sin contacto verificado ralentiza o bloquea la operación. Validar su contacto es el primer paso para monetizar el bloque, no una tarea aparte.