Resumen

  • Investigadores presentaron en APNIC 62 un corte regional de un escaneo IPv4 único realizado el 2 de febrero de 2026: 4.611 routers BGP expuestos, gestionados por 1.343 AS, entre ellos 347 clasificados como routers de frontera.
  • En el estudio, “expuesto” significa que una fuente arbitraria de Internet completó TCP en el puerto 179 y obtuvo una respuesta durante un mensaje BGP OPEN no solicitado. No significa que hubiera explotación o compromiso.
  • Es una inferencia fechada, no un censo actual del registro. La medición partió de un único punto europeo, no incluyó IPv6 y carece de verdad de terreno a escala de Internet para cada agrupación y atribución.
  • La siguiente pieza útil no es una lista pública de objetivos. Es un aviso confidencial, un dictamen documentado del operador y una repetición comparable, con un recibo público agregado que no revele direcciones IP.

La diferencia entre escuchar un puerto y recibir OPEN

Que TCP acepte una conexión dice poco sobre el equipo. Scan-179 fue un paso más allá: localizó respuestas en el puerto 179, envió un mensaje BGP OPEN conforme al protocolo y estudió la contestación. Los autores llaman expuesto al router que puede alcanzarse desde una dirección cualquiera de Internet y que procesa ese intercambio no solicitado.

Antes de establecer una sesión completa, la respuesta puede revelar el ASN, el identificador BGP y capacidades admitidas. También obliga al plano de control a procesar conexión y estado. El RFC 7454 recomienda descartar tráfico hacia el puerto 179 cuando la dirección de origen no es conocida ni está autorizada como vecina BGP, de ser posible mediante filtros específicos del plano de control.

Esa precisión impone un límite. La respuesta no demuestra una vulnerabilidad explotada, una sesión persistente, una ruta alterada, una caída o daño a usuarios. El artículo académico describe filtración de información, fallos de implementación y agotamiento de recursos como riesgos posibles. No documenta que se materializaran en la muestra de APNIC.

La cifra regional depende de una inferencia

En todo el conjunto, 141.313 direcciones IPv4 aceptaron TCP e intercambiaron OPEN. El equipo agrupó esas interfaces en 20.432 routers asociados a 4.194 AS. Clasificó 1.127 como routers de frontera, 16.124 como internos y dejó 3.181 sin clasificar.

La presentación de APNIC 62 separó 4.611 routers gestionados por 1.343 AS de la región, con 347 routers de frontera. El gráfico por país cuenta AS, no equipos: Indonesia suma 387, Bangladesh 209, Japón 115 e India 92. Les siguen Hong Kong, Australia, China, Corea del Sur, Nepal y Taiwán. Son resultados de una técnica de mapeo, no una clasificación moral de operadores.

Para deducir qué interfaces pertenecen a un mismo equipo, el método combina identificadores BGP, ASN del mensaje OPEN y datos de asociación entre IP y AS. Los ASN privados, el direccionamiento compartido y los enlaces que usan espacio del proveedor dificultan la lectura. Un router con ASN público cuyas interfaces observadas caen en el mismo AS puede ser interno o estar en una frontera que utiliza direcciones propias. Mantener una categoría no clasificada es una señal de rigor.

Los autores también retiraron 1.627 direcciones de probables señuelos. Estas repetían el ASN y el identificador BGP del escáner; además exponían muchos puertos y figuraban como honeypots en Shodan. El filtro elimina una clase llamativa de falsos positivos, aunque no proporciona verdad de terreno para el resto.

El dato de febrero no es el estado de septiembre

El escaneo se ejecutó una vez el 2 de febrero, desde un punto europeo y sólo sobre IPv4. La visibilidad puede cambiar con el origen, la ruta, el horario, el mantenimiento o la política del fabricante. Un equipo detectado entonces puede estar cerrado hoy; otro que filtró aquel origen puede no aparecer.

La novedad de septiembre es la publicación del corte regional ante APNIC 62, no una medición nueva. APNIC no realizó el escaneo ni administra esos routers. Su función útil es convocar a quienes pueden aportar contexto o modificar configuraciones.

El contexto publicado sigue siendo escaso. El trabajo dice que se contactó a doce operadores. Uno confirmó la asociación IP-AS y sostuvo que el comportamiento predeterminado de BGP ofrecía protección suficiente para el puerto 179. Los investigadores también sugieren guías de endurecimiento difíciles o limitaciones de software. Una respuesta no explica el resto; el silencio tampoco equivale a negligencia.

La trazabilidad empieza después de detectar

La evidencia por dirección debe mantenerse confidencial. Cada expediente puede guardar fecha, punto de observación, versión de la sonda, tipo de respuesta TCP y BGP, método de agrupación, atribución y nivel de confianza. Después debe constar el contacto de seguridad o enrutamiento responsable, la hora de entrega y cualquier corrección solicitada.

El dictamen del operador separa los casos: excepción deliberada y acotada; ACL obsoleta; defecto de filtrado; plataforma sin soporte; interfaz retirada; atribución falsa; u otra razón documentada. Si hace falta cambiar algo, se asignan responsable y fecha. La repetición debe preservar condiciones comparables y añadir otro punto de observación cuando el filtrado por origen pueda alterar el resultado.

La publicación puede limitarse a totales versionados: avisos entregados, acuses recibidos, dictámenes emitidos, atribuciones corregidas, exposiciones cerradas y controles pendientes. Así se sabrá si una cifra llamativa produjo correcciones sin convertir la investigación en un directorio para reconocimiento hostil.

Fuentes