Este incidente revela una vulnerabilidad crítica en la seguridad del enrutamiento de Internet, donde atacantes explotan la falta de verificación del 'First AS' en el atributo AS_PATH de BGP. La causa raíz subyacente es la configuración por defecto de ciertos equipos de red y la falta de aplicación de una política de seguridad fundamental, descrita en RFC 4271 y RFC 7606. Los atacantes forjan AS_PATHs para redirigir el tráfico, ocultar su identidad y realizar ataques de origen o acortamiento de ruta, incluso burlando mecanismos como RPKI-ROV y ASPA al presentar rutas aparentemente válidas.
La cascada de fallo se inicia cuando un AS (como Gcore en los ejemplos) acepta un anuncio BGP con un AS_PATH manipulado donde el 'First AS' no coincide con el ASN del peer que envió el anuncio. Esta aceptación propaga la ruta maliciosa a través de la red global, desviando el tráfico destinado a prefijos legítimos. Las salvaguardas existentes, como RPKI y ASPA, son insuficientes porque los atacantes pueden diseñar AS_PATHs que parecen válidos o que carecen de la información necesaria para que ASPA detecte la manipulación. La debilidad radica en que BGP, por su naturaleza de 'confianza', permite la manipulación del AS_PATH, y la verificación del 'First AS' no es un comportamiento por defecto universalmente aplicado.
El experimento de Cloudflare demuestra empíricamente que la mitad de las redes Tier 1 son vulnerables a esta técnica de secuestro, lo que subraya la escala del problema. La mayoría de los fallos se atribuyen a routers Juniper Networks, que no aplican esta verificación por defecto. Esto crea un riesgo sistémico significativo, ya que las redes Tier 1 forman la columna vertebral de Internet y sus vulnerabilidades tienen un impacto global. La excepción para los route servers de IXPs es un caso de uso válido para no aplicar la verificación, pero no justifica la falta de aplicación por defecto en la mayoría de las sesiones EBGP.