Qué es un honeypot y cómo refuerza la seguridad de tu empresa

Por Javier Horcajuelo Muñoz · Cofundador de Sale SystemsCofundador

Un atacante consigue meterse en la red de una empresa y encuentra, casi sin buscar, un servidor con un nombre irresistible: «contabilidad-backup-2026». Va directo a por él. Lo que no sabe es que acaba de cometer un error: ese servidor no guarda ni una sola nómina ni una sola factura, existe únicamente para que alguien como él llame a su puerta. Desde el instante en que lo toca, cada comando que ejecuta queda grabado y el equipo de seguridad sabe que hay un intruso dentro y por dónde se mueve. Esa trampa puesta a propósito es un honeypot, y colocarla cambia la manera de vigilar tus sistemas: en vez de esperar a que salte la alarma cuando el daño ya está hecho, pones un cebo que delata al atacante en cuanto se acerca.

Qué es un honeypot

Vamos con la respuesta directa. Un honeypot —«tarro de miel», en inglés— es un sistema informático señuelo: un equipo, un servicio o un archivo que se pone a propósito para que parezca un objetivo jugoso y desprotegido, cuando en realidad no contiene nada de valor y está vigilado hasta el último clic. Su único trabajo es atraer a un atacante y anotar todo lo que hace.

El nombre lo explica bien. Un tarro de miel abierto atrae a las moscas; un servidor que aparenta ser fácil de reventar atrae a quien anda buscando una vía de entrada. La diferencia con el resto de tu seguridad está en el planteamiento: un antivirus o un cortafuegos intentan levantar un muro para que nadie pase, mientras que el señuelo hace lo contrario, invita a pasar para poder observar al que entra.

De ahí sale su mayor virtud. Un honeypot no ofrece ningún servicio legítimo, así que nadie de tu empresa tiene motivo para conectarse a él. Cualquier interacción con el señuelo es, por definición, sospechosa. Donde un sistema de seguridad normal tiene que distinguir el tráfico bueno del malo entre miles de conexiones diarias, aquí no hay ruido: si algo toca el cebo, hay un problema. Esa es la razón por la que un señuelo bien colocado genera tan pocas falsas alarmas.

La idea tampoco es una moda pasajera. El ingeniero de seguridad Lance Spitzner fundó en 1999 el Honeynet Project, una comunidad dedicada a estudiar cómo actúan los atacantes usando precisamente estas trampas, y desde entonces la técnica no ha dejado de refinarse. Organismos públicos como INCIBE, el Instituto Nacional de Ciberseguridad de España, publican guías sobre cómo desplegar un honeypot y por qué encaja en la defensa de una empresa.

Cómo funciona un honeypot paso a paso

Un señuelo no se limita a estar ahí quieto esperando. Detrás hay un montaje pensado para que el atacante se confíe y, mientras cree que está saqueando la empresa, entregue información sobre sí mismo. Conviene verlo por fases.

• Se despliega el cebo en una zona aislada. Se levanta un equipo o un servicio que imita algo apetecible —un servidor de ficheros, una base de datos, un acceso remoto— y se coloca en una parte de la red separada de los sistemas que la empresa usa a diario. Ese aislamiento es la regla más importante, y más adelante veremos por qué.
• El señuelo aparenta ser vulnerable. Se deja con contraseñas débiles, con puertos abiertos o con un nombre llamativo, justo lo que un atacante rastrea cuando explora una red. El objetivo es que parezca el eslabón más flojo de la cadena.
• El atacante muerde y actúa. Al creer que ha encontrado una presa fácil, empieza a hacer su trabajo: prueba credenciales, sube herramientas, intenta moverse hacia otros equipos. Y aquí está la clave: piensa que nadie lo mira.
• Se registra cada movimiento. El honeypot graba las direcciones desde las que se conecta, los comandos que teclea, los programas que intenta instalar y las técnicas que emplea. Esa información —a la que en el sector se llama inteligencia de amenazas— sirve para reforzar el resto de tus defensas contra ese mismo tipo de ataque.
• Salta el aviso. Como ninguna conexión legítima debería llegar hasta ahí, el sistema alerta al equipo de seguridad en cuanto detecta actividad. Ese aviso temprano es lo que permite reaccionar antes de que el intruso alcance los datos que sí importan.

Míralo como una caja fuerte falsa en el escaparate de una tienda. El ladrón dedica su tiempo y su esfuerzo a forzarla mientras el dueño, desde la trastienda, observa cómo trabaja y avisa a quien tiene que avisar. El botín nunca estuvo dentro. Ese conocimiento sobre cómo ataca un hacker a una empresa es, muchas veces, más valioso que el propio bloqueo del intento.

Tipos de honeypot: de baja y de alta interacción

No todos los señuelos son iguales. La diferencia principal está en cuánto dejan hacer al atacante, y esa decisión marca tanto la información que obtienes como el riesgo que asumes.

Honeypot de baja interacción

Simula solo unos pocos servicios —un puerto abierto, una pantalla de acceso— sin llegar a ser un sistema completo. Consume pocos recursos, es fácil de montar y de mantener, y resulta muy seguro porque el atacante apenas tiene margen de maniobra. A cambio, la información que recoge es básica: sabes que alguien llamó a la puerta, pero no ves gran cosa de lo que haría dentro. Es la opción sensata para empezar y para vigilar a gran escala.

Honeypot de alta interacción

Aquí se reproduce un sistema entero, con su sistema operativo, sus archivos y sus servicios, para que el atacante actúe con libertad durante un buen rato. La recompensa es un retrato detallado de sus técnicas, sus herramientas y sus intenciones. El precio es mayor: exige más recursos, más mantenimiento y, sobre todo, más cuidado, porque un sistema real y comprometido en tu red es un arma de doble filo.

Cuando se combinan varios señuelos formando una red entera falsa, se habla de una honeynet. Se utiliza para estudiar ataques complejos que se mueven de un equipo a otro, algo que un único cebo no captaría. Sea del tipo que sea, un señuelo rara vez trabaja solo: los avisos que genera suelen enviarse a un SIEM, el sistema que centraliza y correlaciona las alertas de seguridad de toda la empresa, para que no se queden en un rincón sin que nadie los mire.

Existe además una versión ligera y cada vez más usada: los archivos trampa, o honeytokens. Son documentos, credenciales o registros de base de datos falsos, sembrados entre los legítimos, que disparan una alerta en cuanto alguien los abre o los utiliza. No hace falta levantar un servidor entero: basta con dejar un cebo pequeño donde el atacante espera encontrar botín —una hoja de cálculo llamada «contraseñas», un usuario de administrador que nadie usa—. Para una empresa que quiere empezar sin complicarse la vida, es la puerta de entrada más sencilla al terreno de los señuelos.

Para qué le sirve un honeypot a tu empresa

La teoría se entiende mejor con lo que aporta en el día a día. Estos son los beneficios concretos de contar con un honeypot bien planteado:

• Detección temprana. Avisa de que hay un intruso dentro de la red antes de que llegue a los sistemas de producción. En un ataque, los minutos que ganas para reaccionar valen mucho.
• Muy pocas falsas alarmas. Como nadie legítimo usa el señuelo, cada aviso cuenta. Tu equipo deja de perder horas revisando alertas que no eran nada y se centra en las que sí importan.
• Conocimiento del atacante. Ves con qué herramientas y qué técnicas trabaja quien va a por ti. Con ese retrato puedes cerrar las mismas puertas en el resto de tus equipos.
• Detecta el movimiento lateral. Muchos ataques no entran directos a la joya de la corona: primero comprometen un equipo cualquiera y desde ahí van saltando. Un señuelo repartido por la red pilla ese salto, que otras defensas pasan por alto.
• Distrae y ralentiza. Cada minuto que el atacante gasta en el cebo es un minuto que no gasta en tus datos sensibles. Le haces perder el tiempo mientras tú te preparas.

Un ejemplo concreto lo aclara. Imagina un falso panel de acceso remoto, de esos que un atacante rastrea para colarse en una empresa. Nadie de tu plantilla lo usa, así que el día que alguien intenta adivinar su contraseña a base de miles de pruebas automáticas, no hay duda de lo que ocurre: hay un ataque en marcha. El señuelo captura desde qué país llega la conexión, qué usuarios prueba y con qué herramienta lanza los intentos. Con ese dato, tu equipo puede bloquear esa dirección en el cortafuegos de producción antes de que pruebe suerte con un acceso que sí guarda algo importante.

Para un responsable de sistemas, esa combinación tiene un valor claro: convierte una parte de la vigilancia, que suele ser reactiva y ruidosa, en una señal limpia y adelantada. No sustituye a nada de lo que ya tienes, pero ilumina un ángulo que el antivirus y el cortafuegos no cubren: qué pasa cuando alguien ya ha logrado entrar.

Dónde encaja un honeypot en tu seguridad (y qué no es)

Sería deshonesto vender el honeypot como la pieza que resuelve la seguridad de una empresa. No lo es, y conviene decirlo con claridad para no crear una falsa sensación de tranquilidad.

Lo primero: un señuelo no protege nada por sí mismo. No bloquea al atacante ni cierra la puerta por la que entró; solo lo detecta y lo estudia. Si el intruso ya está en tu red, el problema de fondo —la vía de entrada— sigue ahí. Por eso el señuelo es una capa de detección, no de protección, y necesita apoyarse en el resto: un cortafuegos que filtre, un antivirus actualizado, copias de seguridad que funcionen y un EDR que vigile cada dispositivo y reaccione ante lo que se le escape.

Lo segundo, y más delicado: un honeypot mal aislado se vuelve en tu contra. Si un atacante compromete el señuelo y desde él consigue saltar a tus sistemas en producción, le has regalado un trampolín dentro de tu propia casa. De ahí que el aislamiento de la red no sea un detalle técnico menor, sino la condición para que la trampa no se convierta en una brecha. Montar uno sin ese cuidado es peor que no montarlo.

Hay más matices. Los atacantes más avanzados han aprendido a reconocer cuándo están dentro de un señuelo —un sistema demasiado limpio, sin actividad humana, con pistas que delatan la trampa— y se retiran sin dejar nada útil. Y está la parte legal: en España un honeypot es perfectamente lícito si vigilas tu propio sistema y respetas la normativa de protección de datos, pero no sirve como excusa para provocar delitos ni para husmear en equipos ajenos. Son detalles que conviene atar antes de desplegar nada.

Puesto en su sitio, el señuelo es una herramienta valiosa dentro de una defensa por capas, no un sustituto de ella. Y para saber qué capas te faltan y dónde entraría hoy un atacante, lo más útil es empezar por una auditoría de ciberseguridad que ponga números a tu exposición antes de añadir piezas nuevas.