Ataque pasivo

La definición se sostiene sobre una sola frase: el atacante no envía nada al objetivo, o envía tan poco que se confunde con el tráfico normal. Escucha una red, captura paquetes, lee metadatos, consulta lo que la organización publica sin darse cuenta de que lo publica. Como no modifica ni interrumpe nada, el sistema atacado no tiene ningún evento que registrar.

El caso clásico es la captura de tráfico en un segmento compartido o en una red inalámbrica: todo lo que viaje sin cifrar queda legible, y lo que viaja cifrado sigue revelando quién habla con quién, cuándo y cuánto. Ese análisis del patrón, sin llegar nunca al contenido, ya es información aprovechable por sí sola.

La otra mitad ni siquiera toca la red del objetivo. Recoger lo que la empresa ha hecho público (nombres, correos, tecnologías, ficheros con metadatos dentro) es OSINT, y es la forma más pasiva que existe de preparar un ataque. En la fase de reconocimiento las dos se usan juntas.

Un ataque pasivo casi nunca es el objetivo final: es lo que hace barato al siguiente. Con las credenciales capturadas de una sesión sin cifrar, el atacante ya no necesita adivinar nada. Con el mapa de qué máquina habla con cuál, sabe por dónde moverse en cuanto entre.

La frontera con el ataque activo es más fina de lo que parece. Quien está situado en medio de la comunicación puede empezar limitándose a escuchar y decidir después modificar lo que pasa: en ese momento deja de ser pasivo y pasa a ser un adversario en medio. La posición es la misma; lo que cambia es si toca o no toca.

Y en redes inalámbricas hay un caso intermedio que se cita a menudo: capturar el material que se intercambia al conectarse para trabajar sobre él más tarde y fuera de línea, como en el ataque PMKID. No hay interacción con ningún usuario, no se rompe nada, y aun así el resultado puede ser una contraseña.

Contra un ataque pasivo no sirve detectarlo: sirve que no haya nada que escuchar. La medida que de verdad lo neutraliza es el cifrado en tránsito aplicado en todas partes y no solo de cara a internet, con TLS al día y sin excepciones para el tráfico interno, que es justo donde se siguen encontrando protocolos en claro.

Después viene reducir quién puede escuchar. La segmentación de red limita a qué tráfico llega quien ha entrado en un segmento, y en inalámbrico el equivalente es no dar por buena una red por su nombre: un punto de acceso suplantado, el evil twin, convierte a la víctima en quien entrega el tráfico voluntariamente.

Y queda la parte que no se puede cifrar, que es lo que la organización publica. Reducir esa superficie no consiste en esconderse: consiste en saber qué hay ahí fuera antes de que lo sepa otro.

En un encargo, la parte pasiva se hace primero y sin tocar nada: se recoge lo que la empresa publica y, si el alcance lo permite, se escucha el tráfico desde la posición de un empleado o de un visitante. Sirve para dos cosas, y la segunda importa más: dice qué se ve, y dice cuánto de eso se podía haber visto sin entrar en ningún sitio.

En un test de intrusión sobre la red inalámbrica es directamente el punto de partida. Se mide qué redes emite la organización y con qué protecciones, qué dispositivos se conectan solos a redes conocidas y qué se puede capturar desde la calle sin autenticarse en nada.

El hallazgo se redacta contra el dato expuesto, no contra la herramienta que lo capturó. El problema es que exista tráfico interno sin cifrar; el capturador de paquetes solo es la forma de enseñarlo.