Resumen

  • Sanjaya y Carlos Martinez presentaron tres secuestros breves del espacio de LACNIC los días 9, 10 y 12 de julio de 2025.
  • El atacante falsificó el membrete y un dominio parecido al de un pequeño ISP para obtener tránsito; el titular del ASN también fue víctima.

El primer síntoma no fue una alarma de película: un correo salía y no llegaba. LACNIC siguió esa pista y encontró tres episodios de secuestro BGP de su espacio de direcciones. Ocurrieron el 9 de julio de 2025 a las 19:47, el 10 a las 20:34 y el 12 a las 10:13, hora UTC−3. Duraron unos 20, 15 y cinco minutos. Lo bastante breves para desaparecer; lo bastante reales para obligar a investigar.

Sanjaya y Carlos Martinez expusieron el caso ante APNIC 61. LACNIC avisó a APNIC y esta recurrió a APJII/IDNIC, el registro nacional indonesio. Allí apareció la pieza decisiva: el dueño legítimo del ASN era un pequeño proveedor de Internet y no había contratado el servicio. El atacante había usado su membrete y un dominio engañosamente similar para convencer a un proveedor multinacional de tránsito de que activara BGP. Utilizó el AS suplantado como tránsito y lanzó anuncios fugaces con otros ASN de origen falsos.

El relato original de LACNIC deja claro que el pequeño ISP era otra víctima. El proveedor cerró la sesión fraudulenta cuando recibió su aviso. APJII/IDNIC y el titular compartieron el informe final con ambos RIR; APNIC documentó la presentación conjunta. Los documentos públicos no cuantifican el tráfico desviado. Sí muestran exactamente dónde se abrió la puerta.

Sanjaya llevó la discusión de la ruta al mostrador donde se da de alta a un cliente. El BGP obedeció a una sesión que alguien había autorizado. El problema empieza cuando una hoja con membrete sustituye la comprobación del titular verdadero.