do podsłuchania komunikacji wystarczyło przełączyć kartę sieciową w tryb odbioru wszystkich ramek (tryb mieszany, promiscuous) za pomocą programu zwanego snifferem. Przełącznik, w odróżnieniu od koncentratora, uczy się, za którym portem znajduje się dany adres MAC, i kieruje ramki wyłącznie do właściwego portu, co uniemożliwia bierny podsłuch.
ARP spoofing pozwala obejść to ograniczenie: przekierowując ruch ofiary na adres MAC napastnika, umożliwia przechwytywanie komunikacji także w sieci zbudowanej na przełącznikach.
Zabezpieczenia Do ograniczania ryzyka ataku stosuje się kilka metod: statyczne wpisy ARP – ręczne przypisanie adresów MAC do adresów IP uniemożliwia ich nadpisanie sfałszowaną odpowiedzią, jest jednak trudne do utrzymania w większych sieciach, ponieważ wymaga aktualizacji przy każdej zmianie adresów, inspekcja ARP na przełącznikach – mechanizmy takie jak Dynamic ARP Inspection, współpracujące z funkcją DHCP snooping, porównują komunikaty ARP z tablicą przypisań adresów IP do portów i odrzucają te niezgodne, szyfrowanie transmisji – nie zapobiega samemu atakowi, ale ogranicza jego skutki, ponieważ przechwycony ruch pozostaje nieczytelny, systemy wykrywania – narzędzia monitorujące pamięci podręczne ARP w sieci sygnalizują sytuacje podejrzane, na przykład przypisanie wielu adresów IP do jednego adresu