La mayoría de los usuarios de Internet confían en que sus routers dirigen el tráfico correctamente, sin sospechar nunca que los propios indicadores de la web podrían estar siendo manipulados. Una red "en la sombra" sofisticada ha estado secuestrando silenciosamente conexiones domésticas a Internet al comprometer routers vulnerables y alterar sus configuraciones de DNS. 

Se ha revelado una vulnerabilidad de alta gravedad en BIND 9, el software de servidor DNS ampliamente utilizado que se encarga de la resolución de nombres de dominio en millones de servicios de internet. La vulnerabilidad, identificada como CVE-2025-13878, permite a atacantes remotos bloquear servidores DNS mediante el envío de registros DNS maliciosos y especialmente diseñados, lo que podría interrumpir infraestructuras críticas de internet y servicios organizacionales. 

Una falla crítica en la autenticación Kerberos de Windows amplía significativamente la superficie de ataque para ataques de retransmisión de credenciales en entornos de Active Directory. Al abusar de la forma en que los clientes Windows manejan las respuestas DNS CNAME durante las solicitudes de tickets de servicio Kerberos, los atacantes pueden forzar a los sistemas a solicitar tickets para servicios controlados por el atacante, eludiendo protecciones tradicionales.

Una investigación reciente sobre una red engañosa de notificaciones push demuestra cómo un simple error en DNS puede abrir una ventana a la infraestructura criminal. La campaña abusó de las notificaciones del navegador para inundar a los usuarios de Android con alertas de seguridad falsas, señuelos de apuestas y ofertas para adultos. Dominios de apariencia aleatoria y alojamiento oculto intentaron esconder al operador mientras mantenían el flujo de clics

Antes de adentrarnos en las soluciones de filtrado DNS, es fundamental comprender el concepto de filtrado DNS y su importancia en la ciberseguridad. En el panorama digital actual, la ciberseguridad se ha convertido en una prioridad crítica, ya que los ciberataques son cada vez más frecuentes en todo el mundo. Las organizaciones deben proteger no solo su infraestructura, sino también a sus empleados y equipos de estas amenazas.

DNS4EU es el nombre de uno de los proyectos europeos más ambiciosos en los últimos años. Una DNS pública europea para protegernos de algunos de los peligros que podemos encontrarnos en internet. Esta iniciativa de la Comisión Europea, y financiada en parte por la Unión Europea, ofrece una alternativa a las muchas DNS, gratuitas y de pago, que abundan en la red. Además, cuenta con cinco filtros distintos en función de cuál sea el problema que quieras atajar mientras navegas por internet de forma segura.

Configurar Dynamic DNS (DDNS) en OPNsense permite actualizar automáticamente las entradas DNS cuando cambia la dirección IP pública, útil para acceder a dispositivos o servicios de tu red a través de un dominio en lugar de una IP dinámica.

Dado que Unbound DNS en OPNsense no soporta DNS sobre HTTPS (DoH) directamente, fue necesario utilizar el plugin DNSCrypt-Proxy. El plugin también soporta DNS sobre TLS (DoT). Sin embargo, que Unbound ya tiene soporte nativo para DoT. Debido al soporte incorporado para DoT, la configuración de DNS sobre TLS se vuelve bastante fácil de implementar.

La persecución del streaming de fútbol ilegal deja a los ciudadanos franceses y portugueses sin acceso a los servidores de Open DNS, desactivados como respuesta a dos órdenes judiciales que piden falsear la resolución de 117 dominios piratas.

Una vez configurados correctamente los clásicos SPF, DMARC y DKIM podemos añadir una nivel extra de seguridad con ARC y DANE.

Reforzar la seguridad de tu correo electrónico es un proceso que lleva varios pasos, desde hace un tiempo hemos estado hablando sobre diversos temas relacionados a la seguridad de los mensajes de correo salientes, para lo cual es necesario aplicar políticas DMARC; sin embargo, muchos propietarios de dominios todavía se preocupan por la seguridad del flujo de correo entrante.

El Centro Nacional de Investigación en Ciberseguridad Aplicada ATHENE de Alemania ha descubierto una falla crítica en el diseño de DNSSEC (las extensiones de seguridad de DNS). 

unbound permite cachear host lookups para los programas en ejecución y guardar los resultados para la siguiente consulta (query), con esto podemos reducir considerablemente el número de consultas DNS (host lookups).

Un reciente estudio conjunto realizado por la Universidad de California, Irvine, y la Universidad Tsinghua ha sacado a la luz un ataque de envenenamiento de caché DNS, apodado «MaginotDNS«. Este ataque se centra en los resolutores DNS condicionales (CDNS) y tiene el potencial de comprometer la seguridad de dominios completos de nivel superior (TLDs). El DNS (Sistema de Nombres de Dominio) es un componente fundamental de la arquitectura de Internet, transformando nombres de dominio en direcciones IP. Un ataque de envenenamiento de caché DNS.

¿Por qué usar DNS privado? DNS sobre TLS es una mejor alternativa que un DNS estándar, ya que garantiza una mayor privacidad y seguridad. DNS sobre HTTPS / TLS, estos nuevos protocolos aseguran que la comunicación entre su dispositivo y el sistema de resolución esté encriptada, tal como esperamos del tráfico HTTPS.  Sin embargo, hay un último paso inseguro en esta cadena de eventos: la revelación de la SNI (indicación del nombre del servidor) durante la negociación inicial de TLS entre su dispositivo y un nombre de host específico en un servidor

 El Consorcio de Sistemas de Internet (ISC) ha publicado un boletín de seguridad que soluciona hasta 6 vulnerabilidades explotables de manera remota en el software BIND DNS.

 Estamos cerca de la supremacía en privacidad, no solo Encrypted Client Hello (ECH), si no DoT/DoH/DoQ ayudaran a elegirse entre privacidad o no

Si tienes un router del fabricante TP-Link de la gama Archer o un sistema Wi-Fi Mesh de la familia Deco, es muy posible que TP-Link esté compartiendo todo el tráfico de navegación web que estés realizando con Avira, la empresa de ciberseguridad que se encarga de proporcionar una protección de seguridad a la hora de navegar por Internet gracias a TP-Link HomeCare Pro. TP-Link HomeCare Pro es un software integrado en los routers y sistemas Wi-Fi Mesh que se encarga de monitorizar nuestra conexión para prevenir de posibles ataques, sin embargo, aunque lo desactives parece ser que sigue enviando todos los datos a Avira para su tratamiento y mejora del producto.

 Europa tendrá un servicio de resolución DNS público de alta disponibilidad que ofrecerá protección antimalware y también bloqueo de contenidos ilegales, para contrarrestar el dominio de los servicios gratuitos no europeos como Google Public DNS (8.8.8.8) o los DNS de CloudFlare (1.1.1.1). En definitiva Europa quiere también bloquear el “contenido ilegal”, ya que el el filtrado de malware se encargará el CERN, mientras que el filtrado de contenidos ilegales será por orden judicial.