La resolución estándar del Sistema de Nombres de Dominio (DNS) funciona normalmente enviando consultas en texto plano —más comúnmente a través de UDP— a varios servidores para mapear dominios legibles por humanos a direcciones IP. Debido a que estos datos no están cifrados durante el tránsito, son susceptibles a la interceptación. Un usuario individual puede descubrir esta vulnerabilidad cuando su proveedor de red secuestra una solicitud: en lugar de devolver el servidor de destino real, el ISP proporciona su propia dirección IP, redirigiendo efectivamente la conexión del usuario.

Una captura de pantalla de una consulta DNS en texto plano que devuelve una dirección IP perteneciente a un ISP.
Una consulta DNS en texto plano siendo interceptada y redirigida a una dirección IP propiedad de un ISP.www.karthihegde.dev

Esta imagen ilustra el mecanismo de secuestro de DNS donde una consulta en texto plano es interceptada y redirigida.

Una búsqueda de propiedad de IP que muestra que la dirección manipulada pertenece al ISP.
Una búsqueda de propiedad de IP que confirma que la dirección redirigida es propiedad del proveedor de servicios.www.karthihegde.dev

Este recurso visual proporciona evidencia del secuestro al mostrar la propiedad de la dirección IP devuelta.

Un método para garantizar la integridad de los datos es DNS Security Extensions (DNSSEC). Sin embargo, muchos usuarios confunden DNSSEC con el cifrado; en realidad, utiliza firmas criptográficas para verificar que los registros DNS sean auténticos. Si el propietario de un dominio ha implementado correctamente una cadena de confianza válida, cualquier respuesta secuestrada fallará en la validación, provocando que el resolutor devuelva un error en lugar de una IP fraudulenta. La limitación aquí es la adopción: a finales de 2026, solo alrededor del 7% de los dominios calificados poseen una cadena DNSSEC de validación completa. Sin la configuración adecuada por parte del propietario del dominio, DNSSEC no puede evitar que un ISP manipule el tráfico sin cifrar en tránsito.

Para evitar la interferencia del ISP, los usuarios pueden emplear resolutores locales como Unbound o herramientas como dnscrypt-proxy para facilitar DNS over TLS (DoT), DNS over HTTPS (DoH) o DNSCrypt. Estos protocolos envuelven la consulta DNS en un túnel cifrado, evitando que el ISP espíe o modifique el contenido específico de la solicitud. Si bien esto asegura la ruta entre el usuario y el resolutor elegido, traslada el punto de confianza lejos del ISP hacia el proveedor externo que opera esos servidores. Además, incluso con DNS cifrado, los ISP aún pueden identificar los sitios visitados a través de la Server Name Indication (SNI) durante el posterior saludo TLS, a menos que todo el tráfico de internet se enrute a través de una VPN.

Una captura de pantalla de una consulta DNS a través del punto de conexión DoH de Cloudflare que devuelve la dirección IP correcta.
Una consulta DNS que utiliza DNS over HTTPS (DoH) devolviendo con éxito la dirección IP auténtica.www.karthihegde.dev

Esta imagen demuestra cómo los protocolos de transporte cifrado como DoH evitan la manipulación y devuelven los datos correctos.