Verificación de identidad en transacciones de IPv4: guía

Verificar la identidad en las operaciones con IPv4 ya no es un trámite opcional. Es, sencillamente, el filtro que separa una transacción limpia de un problema que puede durar meses. Los precios del mercado lo dicen todo: entre 30 y 50 dólares por dirección (un /24 puede pasar de los 8.000), y con los RIR apretando contra el fraude y el squatting de prefijos, quien compra, vende o alquila bloques sin procesos de verificación sólidos juega con fuego. Transacciones anuladas, recursos bloqueados, litigios. Nada agradable. Esta guía repasa por qué estos controles importan tanto, qué documentación piden normalmente y cómo validan la titularidad los distintos registros regionales.

Por qué la verificación de identidad es crítica en el mercado IPv4

El mercado secundario de IPv4 mueve miles de millones al año. Y donde hay ese dinero, hay fraudes. Los patrones se repiten. Vendedores que no son los titulares reales del bloque, o que actúan sin autorización del titular. Compradores que se presentan con identidades corporativas ficticias para hacerse con bloques y revenderlos sin cumplir los requisitos del RIR. Y arrendatarios que anuncian prefijos ajenos (IP hijacking) sin que el propietario haya firmado contrato alguno.

Las consecuencias son tangibles, no teóricas. Un comprador que adquiera un bloque con documentación defectuosa puede ver cómo el RIR rechaza la transferencia semanas después, con los depósitos en garantía (escrow) y el tiempo de proyecto perdidos en el intento. Algo similar le ocurre al ISP que anuncia un prefijo alquilado sin un LOA (Letter of Authorization) válido ni un ROA de RPKI correcto: puede sufrir revocaciones de rutas por terceros o acabar filtrado por operadores que aplican políticas estrictas de validación.

Riesgos concretos sin verificación adecuada

• Suplantación de titularidad: el vendedor no figura en la base de datos del RIR o no acredita representación legal de la empresa titular.
• Bloques con gravámenes: direcciones embargadas judicialmente, en disputa o pertenecientes a empresas en concurso.
• Fraude en el pago: transferencias bancarias desde cuentas sin relación con ninguna de las partes del contrato.
• Incumplimiento normativo: falta de diligencia debida exigible en jurisdicciones como la española bajo la Ley 10/2010 de prevención de blanqueo de capitales.

De ahí que plataformas como IP4 Market verifiquen a sus vendedores antes de publicar cualquier bloque. Reduce de forma drástica el riesgo de contraparte para compradores e intermediarios.

Verificación de identidad IPv4: qué documentos y controles se exigen

En una transacción profesional bien montada, la verificación de identidad IPv4 cubre tanto a las personas físicas que intervienen como a las empresas implicadas. El estándar mínimo sería este:

1. Documentación societaria: escritura de constitución, NIF/CIF o número de identificación fiscal equivalente, y acreditación de quién representa legalmente a la empresa (nombramiento de administrador).
2. Identificación de personas físicas: pasaporte o DNI de los signatarios, en muchos casos verificado mediante videollamada o servicios de verificación biométrica.
3. Prueba de titularidad del recurso: captura o certificado del whois del RIR que muestre el recurso asignado a la organización vendedora, más el acceso al portal del LIR o al estado de mantenimiento en ARIN.
4. LOA en caso de alquiler: carta firmada por el titular autorizando al arrendatario el uso y anuncio de las direcciones, con vigencia y alcance definidos.
5. Verificación bancaria: que la cuenta de cobro pertenezca a la misma entidad jurídica vendedora, para evitar desvíos de fondos.

Un consejo práctico que he visto salvar más de una operación: exigid siempre que el contacto que negocia figure en el registro del RIR como contacto administrativo del recurso, o que al menos escriba desde un correo del dominio corporativo verificado. Si el vendedor solo opera por mensajería instantánea con cuentas de correo gratuitas, desconfiad. Y mucho.

Validación de titularidad en los RIR: RIPE NCC, ARIN y transferencias

Cada registro regional tiene sus propios controles. Conviene conocerlos antes de cerrar precio, no después.

RIPE NCC

En la región RIPE, las transferencias entre miembros de LIR se gestionan directamente en el portal de registro (RIPE Database o el portal de miembro). El RIR comprueba que la organización solicitante es un LIR activo, que los recursos están en estado de mantenimiento y que no existen disputas abiertas. Un detalle que a veces se pasa por alto: el RIPE NCC no actúa como intermediario económico. La validación de identidad entre las partes corre por cuenta del comprador y del marketplace que facilite la operación.

ARIN

En la región ARIN, las transferencias exigen que ambas organizaciones tengan un ARIN Online vinculado a su record de organización (Org ID). ARIN pide documentación de la transferencia y puede solicitar pruebas adicionales de la legitimidad de la operación, con plazos que suelen moverse entre unas semanas y uno o dos meses.

Consejos transversales

• Verificad el estado del recurso en el whois oficial antes de firmar nada: recurso legado, asignado o en disputa cambia por completo el proceso.
• Comprobad si existen ROA activos que deban revocarse para que la transferencia no se bloquee.
• Usad escrow. Jamás liberéis el pago completo antes de la confirmación del RIR.

Contar con un marketplace como IP4 Market, que ya ha verificado a sus vendedores y estructura las operaciones con escrow y documentación RIR completa, simplifica enormemente esta fase. Y elimina la mayor parte del riesgo de contraparte.

LOA, RPKI/ROA y otros mecanismos técnicos que protegen la operación

Verificar la identidad IPv4 y la legalidad de las partes es solo el principio. Hay mecanismos técnicos que blindan la transferencia y evitan que un tercero reclame el bloque durante la operación, o después. El más conocido es la Letter of Authorization (LOA): un documento firmado por el titular actual del recurso que autoriza su uso o transferencia. Ojo con esto, porque la LOA por sí sola no transfiere la propiedad. Aun así, resulta indispensable en operaciones de alquiler y en las fases previas a la migración de routing, y debe incluir número de prefijo, fechas de validez y datos completos del firmante. Sin fecha de caducidad, mejor no aceptarla.

En la capa de enrutamiento, el RPKI es hoy la barrera más eficaz contra el secuestro de prefijos. Antes de cerrar una compra, comprobad en el RRDP o en mirroredir del RIR correspondiente si existen objetos ROA activos sobre el bloque. ¿Por qué importa tanto? Porque si el vendedor ha publicado un ROA con un origen ASN distinto al vuestro, la propagación de vuestro prefijo quedará invalidada al crear el objeto route. Un bloque comprado que no se puede anunciar es, de hecho, un bloque inservible. La recomendación práctica: exigid que el vendedor revoque o actualice los ROA existentes de forma coordinada con la creación de los vuestros, idealmente en una ventana de mantenimiento previa al anuncio BGP.

• IRR: verificad que los objetos route/route6 en bases IRR (RIPE, RADB) coinciden con el origen autorizado y eliminad los obsoletos.
• DNS inverso: solicitad la liberación de las delegaciones DNS existentes antes de la transferencia para evitar conflictos de gestión.
• Routing Registry del RIR: en el caso de RIPE NCC, comprobad en la base de datos que los objetos inetnum y organización reflejan realmente al titular.
• Escrow técnico: un marketplace con escrow retiene el pago hasta que la transferencia es visible en el registro del RIR, eliminando el riesgo de pagar por recursos no entregados.

Fraudes más comunes en transacciones de IPv4 y cómo detectarlos

Conocer los patrones de fraude habituales permite detectarlos antes de firmar, no después. Estos son los más frecuentes en el mercado de IPv4:

1. Venta de recursos no titularizados: un intermediario ofrece bloques que no le pertenecen. Se detecta consultando el WHOIS del RIR y exigiendo que la transferencia se tramite directamente entre el titular registrado y el comprador. Si el intermediario se resiste a ese trámite, ya tenéis la respuesta.
2. Bloques con disputas o embargos: rangos con litigios abiertos, reclamaciones de terceros o derechos de cobro pendientes (por ejemplo, antiguos titulares con préstamos sobre los recursos). Pedid siempre una declaración de ausencia de cargas y consultad historiales del prefijo en bases de datos de reputación.
3. LOA falsificadas o caducadas: firmas suplantadas o documentos sin fecha de caducidad. Verificad la firma mediante contacto directo con el titular registrado a través de los datos oficiales del RIR. Nunca con los datos que aporta el propio intermediario, por convincente que parezca.
4. Pago por adelantado sin escrow: el clásico. Transferencia anticipada y vendedor que desaparece tras recibir el pago. Ninguna transferencia debe liberarse antes de la confirmación del RIR. Ninguna.
5. Bloques contaminados: rangos con listados en blacklists o historial de abuso que comprometen la entregabilidad de correo y la reputación del prefijo. Analizad el prefijo en herramientas de reputación antes de comprar, porque deslistar un rango puede llevar meses.

La regla general es sencilla: toda afirmación del vendedor debe poder verificarse en una fuente independiente (WHOIS del RIR, bases IRR, herramientas de reputación). Si algo no cuadra, detened la operación. Sin remordimientos.

Conclusión: operar con vendedores verificados reduce el riesgo

La verificación de identidad en transacciones de IPv4 no es un trámite burocrático. Es la primera línea de defensa contra fraudes, secuestros de prefijos y compras de recursos comprometidos. Un proceso riguroso combina la validación documental del vendedor, la confirmación de titularidad en el registro del RIR, el uso de LOA y ROA correctamente gestionados, y pagos protegidos mediante escrow que solo se liberan cuando la transferencia es efectiva.

Ahora bien, hacerlo por cuenta propia exige tiempo, experiencia legal y acceso a fuentes de verificación en varios países. Por eso operar a través de un marketplace especializado como IP4 Market marca la diferencia: cada vendedor pasa por un proceso de verificación previo, las transacciones se estructuran con escrow y documentación RIR completa, y los precios se mantienen competitivos al reunir oferta y demanda verificada en un único entorno. Para operadores de ISP, hosting y empresas que necesitan ampliar su espacio de direcciones IPv4, elegir contrapartes verificadas no es solo una buena práctica. Es la condición necesaria para que la inversión en recursos de red sea segura, auditable y duradera.