Qué es un honeypot: señuelos digitales en ciberdefensa

En agosto de 1986, un astrónomo reconvertido en administrador de sistemas del Lawrence Berkeley Laboratory, Clifford Stoll, encontró un desfase de 75 centavos en la contabilidad de uso de los ordenadores. Tirando de ese hilo descubrió a un intruso que usaba la red del laboratorio como trampolín hacia sistemas militares estadounidenses. Para mantenerlo conectado el tiempo suficiente como para rastrear la llamada, Stoll y su entorno fabricaron una colección de documentos falsos sobre un supuesto proyecto de la Iniciativa de Defensa Estratégica. El intruso picó. Era Markus Hess, un joven de Hannover que formaba parte de un grupo que vendía información al KGB.

Aquel cebo de papel digital es uno de los antecedentes más citados de lo que hoy se llama honeypot. Qué es un honeypot en ciberseguridad, cómo ha evolucionado y dónde están sus límites es lo que explica este artículo, en clave histórica y conceptual, sin instrucciones de despliegue.

Qué es un honeypot: definición en una frase

Un honeypot es un recurso de un sistema de información cuyo valor reside en el uso no autorizado o ilícito de ese recurso.

Lance Spitzner, Honeypots: Tracking Hackers, 2002

Dicho de otro modo: un honeypot es un señuelo. Un sistema, un servicio o un dato que no tiene ningún uso legítimo y que, por eso mismo, convierte cualquier contacto en una señal sospechosa. No protege por sí mismo como un cortafuegos; su valor es informativo. Avisa de que alguien está dentro, muestra cómo actúa y, en ocasiones, le hace perder tiempo.

Cronología: del cebo de Stoll a la ciberdecepción

1. 1986-1989 — Clifford Stoll rastrea a Markus Hess; publica «Stalking the Wily Hacker» (Communications of the ACM, 1988) y el libro The Cuckoo's Egg (1989). Hess es juzgado en Alemania y condenado en 1990.
2. 1991-1992 — Bill Cheswick, en AT&T Bell Labs, observa durante meses a un intruso dentro de un entorno controlado y lo narra en «An Evening with Berferd» (1992).
3. Finales de los noventa — Fred Cohen difunde el Deception Toolkit, una de las primeras herramientas públicas pensadas para engañar a atacantes.
4. 1999 — Lance Spitzner funda The Honeynet Project, que populariza el estudio sistemático de atacantes mediante redes señuelo.
5. 2003 — Augusto Paes de Barros propone en una lista de correo el término honeytoken: datos, cuentas o documentos trampa en lugar de máquinas enteras.
6. Década de 2010 en adelante — la idea madura en la llamada ciberdecepción, y marcos como MITRE Engage la sistematizan como una disciplina de la defensa.

Tipos de honeypot: una clasificación conceptual

La literatura distingue los señuelos según cuánto permiten hacer al intruso y según su objetivo. La tabla resume las categorías más habituales, sin entrar en configuraciones.

Investigación frente a producción

Otra división clásica separa los honeypots de investigación, que buscan conocer a los atacantes y sus herramientas, de los de producción, integrados en una organización para detectar intrusiones cuanto antes. Los primeros alimentan la inteligencia de amenazas; los segundos funcionan como alarmas silenciosas.

Para qué sirven en la defensa

• Detección temprana: como nadie debería tocar un señuelo, cualquier acceso tiene muy pocos falsos positivos.
• Conocimiento del adversario: permiten observar herramientas y comportamientos, un insumo para la threat intelligence y la atribución.
• Desgaste: un atacante que pierde tiempo en un entorno falso no lo dedica al real.
• Prueba de una filtración: un honeytoken que aparece fuera de casa demuestra que los datos han salido.

Cuando el señuelo es una plataforma entera

La lógica del honeypot ha llegado a la escala de operaciones policiales internacionales. En junio de 2017 la policía neerlandesa tomó en secreto el control de Hansa, uno de los mayores mercados de la web oscura, y lo siguió operando alrededor de un mes mientras recogía información sobre vendedores y compradores, en coordinación con el cierre de AlphaBay, según comunicó Europol.

El caso más llamativo es ANOM. Según el FBI y Europol, desde 2019 el FBI, en estrecha colaboración con la Policía Federal Australiana, desarrolló y operó de forma encubierta una empresa de teléfonos cifrados que llegó a más de 12.000 dispositivos usados por más de 300 organizaciones criminales en más de 100 países. Cuando se anunciaron los resultados, el 8 de junio de 2021, Europol habló de unos 800 detenidos y de 27 millones de mensajes analizados. Su admisibilidad como prueba ha sido impugnada por defensas en varios países, un recordatorio de que estas operaciones también se juzgan en los tribunales.

Honeypot no es lo mismo que «trampa de miel»

En el lenguaje del espionaje clásico, la honey trap o trampa de miel designa otra cosa: la seducción de una persona para obtener información o material de chantaje, una técnica asociada en la Guerra Fría a servicios como el KGB y relacionada con el kompromat. El honeypot informático comparte la metáfora —un cebo dulce—, pero se dirige a sistemas y no a personas. Conviene no confundirlos.

Límites, riesgos y debate legal

• Detección por el adversario: los atacantes sofisticados buscan señales de que están en un entorno artificial y pueden alimentar al defensor con información falsa.
• Riesgo de pivote: un señuelo mal aislado puede usarse para atacar a terceros, con posibles responsabilidades para quien lo opera.
• Datos personales: lo que se registra puede incluir información personal, sometida en la Unión Europea al RGPD.
• Provocación: el concepto jurídico de entrapment o delito provocado afecta sobre todo a las autoridades que inducen a delinquir; Spitzner ya sostenía a comienzos de los 2000 que un señuelo pasivo no suele encajar en esa figura, pero cada jurisdicción tiene sus matices.

La conclusión práctica es modesta: un honeypot es un instrumento de observación y alerta, no un escudo. Funciona mejor como parte de una defensa en capas que como solución por sí solo.