Ataques Man-in-the-Middle (MITM): análisis exhaustivo, mecanismos, casos reales y defensa en profundidad

El ataque Man-in-the-Middle (MITM, o “hombre en el medio”) es una de las técnicas de intercepción más clásicas y persistentes de la ciberseguridad. Consiste en que un atacante se posiciona entre dos partes legítimas que creen estar comunicándose directamente (usuario y banco, cliente y proveedor, dispositivo y servidor), interceptando, leyendo o modificando el tráfico o los mensajes sin que ninguna de las partes lo perciba de inmediato.

Su peligro radica precisamente en esa invisibilidad: la comunicación parece normal. En el ámbito financiero permite robar credenciales, secuestrar sesiones, alterar destinatarios de transferencias o mostrar información falsa en pantalla, facilitando el vaciado de cuentas o el desvío de pagos.

Cómo funciona: las dos fases clásicas

Todo MITM efectivo tiene dos fases:

1. Intercepción (posicionamiento): el atacante se coloca en el camino de la comunicación. Métodos habituales incluyen redes Wi-Fi falsas (evil twin), envenenamiento ARP en redes locales, spoofing DNS, compromiso de routers, o simplemente el control de una cuenta de correo.
2. Descifrado / manipulación: una vez en medio, el atacante intenta leer o alterar los datos. Puede degradar HTTPS a HTTP (SSL stripping), presentar certificados falsos, o actuar después del cifrado (como ocurre en el Man-in-the-Browser).

El atacante retransmite el tráfico para que ambas partes crean que la conexión es directa y legítima. Solo interviene cuando le interesa (por ejemplo, para cambiar un número de cuenta o capturar un código OTP).

Variantes principales

1. MITM basado en red
Ocurre cuando el atacante controla parte de la red (Wi-Fi pública comprometida, red local envenenada, etc.). En redes Wi-Fi abiertas o mal configuradas es relativamente sencillo. El uso de HTTPS ha reducido mucho su efectividad, pero técnicas como SSL stripping (forzar la conexión a HTTP) o certificados fraudulentos siguen siendo viables si no se aplican protecciones modernas como HSTS.

2. Man-in-the-Browser (MitB)
Esta es una de las variantes más peligrosas para la banca online. El malware infecta el navegador del usuario (llega por phishing, descargas o exploits). Una vez dentro, puede:

• Interceptar y modificar formularios de transferencia en tiempo real.
• Cambiar el número de cuenta destino antes de que se cifre.
• Alterar lo que se muestra en pantalla (saldo, confirmación, destinatario) para que el usuario vea exactamente lo que espera.

Funciona incluso con HTTPS y MFA tradicionales porque opera dentro del navegador, después del cifrado de red. Ejemplos históricos: Zeus, SpyEye, URLZone, Tiny Banker. Variantes modernas siguen usando técnicas similares con webinjects.

3. Adversary-in-the-Middle (AiTM) / kits de phishing avanzados
Kits como evilginx, Tycoon 2FA o similares actúan como proxy inverso. El usuario cree estar en el sitio real (el proxy reenvía todo al banco legítimo), introduce sus credenciales y el código MFA, y el atacante captura la cookie de sesión válida. Con esa cookie puede acceder sin necesidad de la contraseña ni del segundo factor.

4. “Man-in-the-Email” / Business Email Compromise (BEC)
Muy frecuente en España y Europa. Los atacantes interceptan o comprometen el correo entre empresas (o entre empresa y cliente), modifican facturas o instrucciones de pago cambiando el IBAN, y el dinero se envía a cuentas controladas por ellos. No siempre requiere malware sofisticado en el dispositivo de la víctima: a menudo basta con acceso al buzón o suplantación convincente.

5. Session hijacking
Robo de cookies de sesión (por MITM de red, malware o XSS). Con la cookie activa, el atacante se convierte en el usuario autenticado.

Cómo pueden vaciar una cuenta sin que te enteres

Los escenarios más comunes combinan varias técnicas:

• Escenario MitB: El usuario inicia una transferencia a su proveedor. El malware cambia el IBAN destino por el de una mula bancaria. En la pantalla de confirmación el usuario ve el IBAN correcto (el malware lo restaura visualmente). El usuario confirma. El banco ejecuta la orden modificada. El saldo mostrado puede incluso manipularse temporalmente.
• Escenario BEC/email: Un proveedor envía una factura. El atacante intercepta el correo, cambia el IBAN y reenvía. La empresa paga. El proveedor nunca recibe el dinero. El atacante mueve los fondos rápidamente (a menudo a cripto o a través de mulas).
• Escenario de toma de control: Se capturan credenciales + OTP o cookie de sesión. El atacante entra, cambia el email/teléfono de notificaciones, hace transferencias y desactiva alertas. El titular solo se entera al revisar el extracto o cuando intenta acceder.
• Manipulación de visualización: Malware o scripts inyectados alteran el saldo y el historial mostrado para retrasar la detección.

En todos los casos el tiempo de detección es crítico. Cuanto más tarde se descubre, más difícil es recuperar los fondos.

Casos y contexto real

• Zeus y derivados: Uno de los trojans bancarios más exitosos de la historia. Usaba técnicas MitB masivas. Se le atribuyen decenas o cientos de millones de dólares en robos. Generó un mercado de kits de malware.
• Operaciones BEC en España: La Policía y la Guardia Civil han desarticulado numerosas redes que interceptaban correos y modificaban datos bancarios de facturas. Se han documentado operaciones con pérdidas de millones de euros (casos de 140 millones en redes más amplias que combinaban BEC e inversión fraudulenta, recuperaciones de más de 2 millones en Marbella, etc.). El “man in the middle” en emails es especialmente frecuente en pymes.
• Kits AiTM modernos: Phishing-as-a-Service que permiten bypass de MFA de forma relativamente accesible. Representan una parte importante de los incidentes de toma de cuentas actuales.
• Alertas institucionales: Organismos como INCIBE en España y Condusef en México han advertido específicamente sobre MITM en Wi-Fi públicas y sobre el desvío de pagos por modificación de cuentas.

El BEC (que a menudo se solapa con técnicas de “hombre en el medio” en el correo) es, según varios informes europeos, uno de los tipos de incidente más frecuentes y costosos en el mid-market.

Por qué es tan difícil de detectar

El diseño del ataque busca la transparencia. Si el atacante retransmite correctamente el tráfico y solo altera lo estrictamente necesario, ni el usuario ni (a veces) los sistemas de detección ven anomalías evidentes. En MitB el candado HTTPS sigue presente y el sitio es el real. En BEC el email parece legítimo (o proviene de una cuenta comprometida).

Cómo protegerte: defensa en capas

Para particulares:

• Evita redes Wi-Fi públicas para banca o datos sensibles. Si no hay alternativa, usa una VPN confiable.
• Verifica siempre el candado HTTPS y no ignores advertencias de certificado del navegador.
• Activa MFA en todas las cuentas importantes. Prioriza métodos resistentes a phishing (claves de seguridad FIDO2/WebAuthn o apps de autenticación) sobre SMS.
• Descarga apps bancarias solo de tiendas oficiales y mantén el sistema y el navegador actualizados.
• Revisa extractos y movimientos con frecuencia y activa alertas de transferencias.
• Desconfía de cambios de número de cuenta solicitados por email. Verifica siempre por teléfono al número que ya conocías.
• Mantén un antivirus/antimalware actualizado y evita extensiones de navegador innecesarias.

Para empresas:

• Implementa políticas estrictas de verificación de pagos (doble confirmación por canal alternativo para cambios de IBAN o importes elevados).
• Usa autenticación de correo (SPF, DKIM, DMARC) y herramientas de detección de BEC.
• MFA resistente a phishing (FIDO2) para accesos privilegiados y financieros.
• Certificate pinning en aplicaciones móviles propias o críticas.
• HSTS con preload en dominios corporativos.
• Segmentación de red, Wi-Fi de invitados aislada, y actualizaciones rigurosas.
• Formación continua del personal sobre phishing y verificación de pagos.
• Monitorización de transacciones y alertas de anomalías.
• Preferir canales seguros y verificación fuera de banda para operaciones de alto valor.

Medidas técnicas de alto impacto:

• HTTPS obligatorio + HSTS.
• Certificate pinning en apps.
• MFA FIDO2 (la firma está ligada al dominio real, lo que complica los proxies AiTM).
• Cookies con flags Secure, HttpOnly y SameSite adecuados.
• Sesiones de corta duración y invalidación ante comportamientos sospechosos.
• DNSSEC y resolución DNS cifrada (DoH/DoT) donde sea posible.

Si ya has sido víctima

1. Contacta inmediatamente a tu banco por el canal oficial (teléfono de la tarjeta o de la app) y solicita bloqueo de accesos y posible reversión de transferencias. La rapidez es determinante.
2. Cambia contraseñas desde un dispositivo limpio y revisa dispositivos autorizados.
3. Escanea los equipos en busca de malware.
4. Denuncia a la policía (unidades de delitos tecnológicos) y conserva todas las pruebas (emails, capturas, extractos, números de referencia).
5. En España, bajo la normativa de servicios de pago, el banco suele tener la obligación de reembolsar operaciones no autorizadas salvo negligencia grave del cliente. Documenta todo.

Conclusión

El Man-in-the-Middle y sus variantes modernas (MitB, AiTM y especialmente el fraude de facturas por email) siguen siendo amenazas reales porque explotan la confianza y la normalidad aparente de las comunicaciones. El cifrado ha elevado el listón técnico, pero el malware en el endpoint y la ingeniería social lo mantienen vigente.

La protección más efectiva es por capas: hábitos de higiene digital (no confiar en Wi-Fi públicas, verificar cambios de cuenta), MFA fuerte, actualizaciones, y procesos de verificación humana para operaciones financieras. Ninguna medida aislada es suficiente, pero la combinación reduce drásticamente la probabilidad de éxito de estos ataques.

La vigilancia regular de los movimientos y la reacción rápida ante cualquier anomalía siguen siendo las mejores herramientas para limitar el daño cuando algo falla.