Envenenamiento ARP
Ataque de capa 2: un atacante en la misma LAN envía respuestas ARP falsas → la caché ARP de la víctima asocia la IP de la puerta de enlace con la MAC del atacante. Todo el tráfico saliente de la víctima pasa por el atacante → posibilidad de MITM.
Herramientas: Ettercap, Bettercap, arpspoof. Estándar en Kali Linux y en el temario de pentesting. Funciona hasta que la víctima reinicia o expira la caché ARP (5–20 min). Defensa: DAI (inspección dinámica de ARP) en el switch —valida el ARP contra la tabla de enlaces del DHCP snooping y descarta el ARP inválido. Entradas ARP estáticas para hosts críticos (servidores, puertas de enlace). Relevancia actual: pasar de WiFi a datos móviles o a una VPN esquiva al atacante de la LAN, pero las LAN corporativas siguen siendo vulnerables. HTTPS protege la confidencialidad de los datos, pero un MITM aún puede provocar DoS o análisis de tráfico.