ARP spoofing, także zatruwanie pamięci ARP () – atak sieciowy w sieci lokalnej polegający na rozsyłaniu sfałszowanych komunikatów protokołu ARP, które wiążą adres IP innego urządzenia z adresem MAC napastnika. W efekcie ruch kierowany do danego adresu IP trafia do atakującego, co umożliwia podsłuch, modyfikację lub blokowanie transmisji.
Atak wykorzystuje właściwość samego protokołu ARP, opisanego w 1982 roku w dokumencie RFC 826: jest on bezstanowy i nie przewiduje uwierzytelniania, przez co urządzenie przyjmuje i zapisuje w swojej pamięci podręcznej ARP odpowiedź nawet wtedy, gdy nie wysyłało odpowiadającego jej zapytania.
Mechanizm Aby urządzenia w sieci lokalnej mogły się komunikować, muszą znać adresy MAC odpowiadające adresom IP. Gdy urządzenie nie ma potrzebnego wpisu, rozgłasza zapytanie ARP z pytaniem, kto ma dany adres IP; właściciel tego adresu odpowiada swoim adresem MAC, a odpowiedź trafia do pamięci podręcznej ARP pytającego.