¿Qué es un honeypot? Definición y origen
Un honeypot (literalmente "tarro de miel" en inglés) es un sistema informático señuelo que simula ser un servidor, base de datos, dispositivo o recurso de red real y valioso, con el único propósito de atraer a atacantes y detectarlos en el momento en que interactúan con él.
La analogía es perfecta: así como un tarro de miel atrae a los osos, un honeypot atrae a los ciberdelincuentes que exploran tu red buscando sistemas que comprometer.
El concepto proviene del mundo del espionaje. Durante la Guerra Fría, los servicios de inteligencia utilizaban "agentes señuelo" —espías falsos con información falsa— para identificar a topos y agentes enemigos. Si el agente señuelo era contactado, significaba que alguien que no debería saber de su existencia lo había descubierto.
En ciberseguridad, la lógica es idéntica: el honeypot no tiene ningún usuario legítimo. No debería haber ningún tráfico hacia él. Cualquier conexión es, por definición, sospechosa.
Cómo funciona un honeypot paso a paso
Entender el funcionamiento de un honeypot requiere comprender primero cómo opera un atacante una vez que penetra una red empresarial. Tras superar el perímetro —ya sea mediante phishing, credenciales robadas o una vulnerabilidad—, el atacante no ataca inmediatamente. Primero explora.
Esta fase de reconocimiento interno, conocida como "movimiento lateral", puede durar días o semanas. El atacante mapea la red, identifica sistemas valiosos, escala privilegios. Es exactamente durante esta fase cuando el honeypot hace su trabajo.
Tipos de honeypots para empresas
No todos los honeypots son iguales. Se clasifican según el nivel de interacción que permiten al atacante y el tipo de sistema que simulan. Cada tipo tiene su caso de uso óptimo:
Por nivel de interacción
Por tipo de sistema simulado
Casos reales: empresas que detectaron intrusos con honeypots
Los honeypots no son teoría. Son la herramienta que marca la diferencia entre descubrir un ataque en 3 minutos o en 47 días. Estos escenarios —basados en patrones de ataque reales documentados— ilustran cómo funcionan en práctica.
Gestoría detecta empleado filtrando datos de clientes
Despacho de abogados detecta intrusión con credenciales de un socio
Empresa logística neutraliza ransomware antes del cifrado
Qué pasa en una empresa sin honeypots
Para entender el valor de un honeypot, es útil visualizar exactamente qué ocurre cuando una empresa no los tiene y sufre una intrusión:
Semana 2-4: El atacante identifica los sistemas más valiosos, escala privilegios y establece persistencia. Nadie lo sabe.
Semana 4-6: El atacante comienza a exfiltrar datos o prepara el despliegue de ransomware. Nadie lo sabe.
Semana 6-8: El ransomware se despliega, los archivos se cifran, los sistemas se paralizan. Ahora lo saben.
Día del descubrimiento: La empresa lleva entre 30 y 60 días comprometida. Todos los datos accedidos durante ese período están en manos del atacante.
| Métrica | Sin honeypots | Con honeypots |
|---|---|---|
| Tiempo medio de detección | 47 días | Minutos |
| Datos expuestos durante el ataque | Todo lo accedido en 47 días | Prácticamente nulo |
| Falsos positivos | Decenas al día (IDS) | Cero |
| Detección amenazas internas | Muy difícil | Alta efectividad |
| Detección ataques día cero | No | Sí (por comportamiento) |
| Información sobre el atacante | Escasa o ninguna | IP, técnicas, credenciales, horario |
| Coste de implementación | — | Bajo (sin hardware adicional) |
Cómo implementar honeypots en tu empresa
La buena noticia es que implementar honeypots en una PYME es más sencillo de lo que parece. No requiere hardware adicional, no necesita un equipo de seguridad dedicado, y puede estar funcionando en menos de una hora.
Opción 1 — Soluciones de código abierto (gratuitas, requieren configuración técnica)
Si tu empresa tiene un responsable técnico con conocimientos de Linux y redes, existen herramientas open source muy capaces:
- OpenCanary — Honeypot multiprotocolo de Thinkst. Simula SSH, RDP, HTTP, SMB, MySQL. Muy configurable, excelente comunidad.
- Cowrie — Honeypot SSH y Telnet de alta interacción. Registra todo lo que el atacante hace dentro del sistema.
- HoneyDB — Base de datos de honeypots distribuidos, con API para integrar alertas.
La limitación de estas soluciones es que requieren configuración, mantenimiento y monitorización manual. Para una PYME sin equipo de seguridad, el tiempo invertido puede superar el valor obtenido.
Opción 2 — Plataformas gestionadas (recomendado para PYMEs)
Las plataformas de honeypots gestionadas abstraen toda la complejidad técnica: tú defines qué sistemas quieres simular y dónde colocarlos, y la plataforma se encarga del despliegue, el mantenimiento y las alertas.
▸ En el mismo segmento de red que los servidores reales — el atacante no distinguirá cuál es el señuelo
▸ Con nombres atractivos: "SERVIDOR-BACKUP", "BD-CONTABILIDAD", "ADMIN-PANEL" — el atacante va a lo que parece valioso
▸ Uno por segmento de red crítico: red de servidores, red de usuarios, WiFi de invitados
▸ Nunca en el perímetro exterior — recibirías demasiado ruido de internet. El honeypot es para detectar movimiento lateral interno.
Preguntas frecuentes sobre honeypots
¿Un honeypot es ilegal?
No. Desplegar honeypots en tu propia red es completamente legal en España y en la Unión Europea. Es una técnica defensiva estándar utilizada por bancos, organismos públicos y empresas de todos los tamaños. Lo que sería ilegal es desplegar honeypots en redes ajenas sin autorización.
¿Puede un atacante detectar que está en un honeypot?
Los atacantes sofisticados pueden intentar detectar honeypots analizando las respuestas del sistema (versiones de software, tiempos de respuesta, comportamiento ante comandos inusuales). Sin embargo, para la inmensa mayoría de los ataques —que son oportunistas y automatizados—, un honeypot bien configurado es completamente transparente. Y en cualquier caso, incluso si el atacante detecta el honeypot, habrá generado una alerta valiosa.
¿Un honeypot puede ser utilizado como pivote para atacar otros sistemas?
Es un riesgo real en honeypots de alta interacción mal configurados. La solución es aislar el honeypot mediante segmentación de red: puede recibir conexiones desde la red interna pero no puede iniciar conexiones hacia otros sistemas. Las plataformas de honeypots gestionadas implementan este aislamiento automáticamente.
¿Cuántos honeypots necesita una empresa?
La regla general es al menos uno por segmento de red crítico. Para una PYME típica, con dos o tres segmentos (servidores, usuarios, DMZ), entre dos y cuatro honeypots proporcionan una cobertura muy efectiva. Más importante que la cantidad es la ubicación estratégica: un honeypot bien colocado vale más que diez mal situados.
¿Cuál es la diferencia entre un honeypot y un honeynet?
Un honeypot es un único sistema señuelo. Una honeynet es una red completa de honeypots interconectados que simula una infraestructura empresarial entera —con servidores, bases de datos, dispositivos de red— permitiendo observar el comportamiento del atacante con mucho mayor detalle. Las honeynets son más propias de entornos de investigación y grandes organizaciones; para PYMEs, los honeypots individuales son suficientes y más sencillos de gestionar.
¿Los honeypots protegen contra ransomware?
Sí, y es uno de sus usos más valiosos. El ransomware moderno, antes de cifrar archivos, realiza reconocimiento interno de la red buscando recursos compartidos y servidores. Si en ese proceso accede a un honeypot SMB o de servidor de archivos, genera una alerta que permite aislar el equipo infectado antes de que comience el cifrado. Es la diferencia entre cero archivos cifrados y una crisis total.
¿Cuánto tiempo llevaría un intruso en tu red antes de que lo detectases?
ChacalDeception despliega honeypots en tu infraestructura en minutos, sin hardware adicional y sin conocimientos técnicos avanzados. Cuando un atacante los toca, recibes una alerta por Telegram en segundos con su IP, geolocalización, credenciales usadas y nivel de riesgo.
Incluido en planes Estándar y Pro · Configuración guiada · Alertas Telegram en tiempo real