Los ataques distribuidos de denegación de servicio (DDoS) están alcanzando volúmenes que hace pocos años solo se observaban en incidentes excepcionales. Cloudflare asegura haber mitigado 935 ataques de capa de red superiores a 1 Tbps en el primer semestre de 2026, de los cuales 805 se concentraron entre abril y junio. Este incremento representa un crecimiento trimestral del 519 %, confirmando que los ataques hipervolumétricos empiezan a ser una parte habitual del escenario para grandes proveedores de infraestructura de Internet.
Las claves del crecimiento de los DDoS en 20 segundos
- Entre enero y junio, Cloudflare mitigó 23,2 millones de ataques DDoS de capa de red.
- Los ataques superiores a 1 Tbps pasaron de 130 en el primer trimestre a 805 en el segundo.
- El 34,3 % de los ataques de red concentraron en DNS.
- CLDAP creció un 580 % trimestralmente como técnica de reflexión y amplificación.
- El 90,6 % de los ataques concluyeron en menos de diez minutos.
Estos datos provienen del informe del primer semestre de 2026 elaborado por Cloudforce One, la división de inteligencia de amenazas de Cloudflare. Como en cualquier informe basado en telemetría de un proveedor, las cifras reflejan lo observado en su infraestructura y no constituyen un censo completo de todos los ataques en Internet.
No obstante, la escala de la red analizada revela una tendencia clara: Cloudflare contabilizó aproximadamente 5.343 ataques de capa de red cada hora, unos 128.000 diarios. Además, se registraron 29,64 billones de solicitudes HTTP relacionadas con ataques DDoS.
Un ataque de 1 Tbps ya no es una anomalía
Cloudflare emplea el término hipervolumétrico para describir ataques que superan al menos uno de estos umbrales: 1 Tbps de ancho de banda, 1.000 millones de paquetes por segundo o un millón de solicitudes por segundo.
El segundo trimestre muestra hasta qué punto está creciendo esta categoría.
De los 935 ataques superiores a 1 Tbps detectados en el semestre, 805 ocurrieron entre abril y junio. En comparación, el primer trimestre tuvo 130 incidentes. Este aumento, del 519 %, es el crecimiento trimestral reportado por la compañía.
Esta cifra es especialmente relevante para proveedores de hosting, operadores de centros de datos, ISPs y plataformas en la nube. Una infraestructura puede contar con suficiente ancho de banda total y, aun así, tener componentes intermedios incapaces de procesar ciertos volúmenes de paquetes.
Este detalle explica por qué medir un DDoS solo en Gbps o Tbps puede ser engañoso.
Un ataque puede intentar saturar los enlaces de internet, pero también es capaz de colapsar tablas de conexiones, firewalls, routers o balanceadores enviando cantidades ingentes de paquetes pequeños. En la capa de aplicación, el objetivo puede ser agotar servidores mediante solicitudes HTTP que, individualmente, parecen legítimas.
Además, volumen y duración no siempre están vinculados.
El 90 % termina antes de que un administrador pueda reaccionar
Una de las conclusiones más útiles del informe para los equipos de sistemas es precisamente la duración de los ataques.
El 90,60 % de los ataques observados concluyó en menos de diez minutos. Al mismo tiempo, el 96,62 % de los ataques de capa de red se mantuvo por debajo de los 500 Mbps.
La aparente contradicción entre ataques cada vez mayores y la mayoría de incidentes de tamaño modesto desaparece al analizar la distribución: existen millones de ataques relativamente pequeños y, paralelamente, una categoría de ataques extremos que crece rápidamente.
Cloudflare ha llegado a registrar ataques hipervolumétricos que duran apenas 35 segundos.
Esto modifica la manera de diseñar las estrategias de protección.
Un esquema basado en detectar anomalías, generar alertas y esperar a que un administrador aplique reglas de filtrado puede ser demasiado lento. Cuando el operador empieza a intervenir, el pico de tráfico puede ya haberse terminado.
La mitigación automática y en tiempo real adquiere mayor importancia frente a los modelos de protección bajo demanda. No porque todos los ataques requieran cientos de terabits de capacidad, sino porque el tiempo para decidir qué tráfico bloquear puede medirse en segundos.
Además, los efectos no desaparecen necesariamente cuando termina el ataque. Pueden persistir conexiones saturadas, retransmisiones TCP, timeouts, problemas de routing o servicios en recuperación simultánea.
El DNS vuelve a ser el foco principal de los ataques de red
Otro cambio relevante se encuentra en las técnicas empleadas.
Los ataques relacionados con DNS representaron en el primer semestre el 34,3 % de los DDoS de capa de red. Solo DNS Flood creció del 25,7 % al 40 % entre el primer y segundo trimestre.
Aunque ambos usan DNS como infraestructura, un DNS Flood y un ataque de amplificación funcionan de forma distinta.
En el primer caso, los atacantes envían grandes cantidades de consultas directamente a los servidores DNS de la víctima. Si logran saturarlos, los usuarios no podrán resolver dominios ni acceder a servicios relacionados.
La amplificación DNS aprovecha servidores de terceros.
El atacante falsifica la dirección IP de origen para que una pequeña petición parezca provenir de la víctima. El servidor DNS responde entonces con una cantidad de información mucho mayor a la solicitada, multiplicando así el tráfico dirigido hacia la víctima.
Este método es especialmente efectivo con UDP, que no establece una conexión previa como TCP y facilita este tipo de ataques de reflexión y amplificación.
El crecimiento de CLDAP en un 580 % y la recuperación de técnicas tradicionales de amplificación
El aumento más marcado corresponde a CLDAP Flood, que creció un 580 % entre el primer y el segundo trimestre, posicionándose como el tercer vector más frecuente de ataque de capa de red en ese periodo.
CLDAP es una variante sin conexión del protocolo LDAP que usa UDP. Cuando ciertos servicios quedan accesibles en Internet, pueden ser utilizados como reflectores.
El atacante envía una pequeña consulta usando la dirección falsificada de la víctima. El servidor expuesto responde con un volumen mucho mayor, dirigido directamente contra ella.
Desde la perspectiva de infraestructura, el crecimiento de CLDAP recuerda un problema bien conocido: los DDoS no dependen únicamente de millones de dispositivos IoT comprometidos.
Los servicios UDP mal configurados o expuestos siguen siendo un vector de reflexión y amplificación, que puede convertir recursos legítimos de Internet en participantes involuntarios de los ataques.
Para administradores de sistemas y redes, reducir esta superficie implica revisar qué servicios están expuestos, aplicar filtros adecuados y evitar que sistemas que nunca deberían aceptar tráfico público puedan ser utilizados como amplificadores.
El escenario internacional: geopolítica, hacktivismo y ataques DDoS entrelazados
El informe también detecta cambios en los sectores atacados, coincidiendo con acontecimientos internacionales.
Los medios de comunicación, producción y publicación encabezaron la lista en ambos trimestres, concentrando el 14,2 % de las solicitudes HTTP DDoS mitigadas.
El sector gubernamental mostró un movimiento destacado: pasó del puesto 29 en el primer trimestre al noveno en el segundo.
Este incremento coincide con las operaciones enmarcadas en Operation Epic Fury y un aumento de campañas reivindicadas por hacktivistas. Durante las 72 horas posteriores a las acciones contra Irán, investigadores de seguridad registraron reivindicaciones de 149 ataques contra 110 organizaciones en 16 países.
Es importante distinguir entre correlación y atribución. La coincidencia de un ataque con un conflicto internacional no implica necesariamente quién lo llevó a cabo, especialmente cuando las botnets distribuyen el tráfico en dispositivos en múltiples países.
También hay que ser cautelosos al interpretar los datos geográficos. Brasil fue el principal origen del tráfico DDoS mitigado por Cloudflare en el semestre, con un 14,9 %, seguido por EE. UU. con un 13,4 %. En el segundo trimestre, la proporción atribuida a Brasil subió al 21,4 %.
Esto no indica que la mayoría de los atacantes estén físicamente en Brasil, sino que ese fue el origen observado del tráfico, que puede provenir de servidores, routers o dispositivos IoT comprometidos en distintos países.
23,2 millones de ataques: la verdadera escala del problema
Los ataques que superan 1 Tbps llaman la atención, pero para los operadores de infraestructura quizás sea aún más revelador otra cifra: 23,2 millones de ataques de capa de red en medio año.
La industrialización del DDoS combina botnets, infraestructura comprometida, técnicas de amplificación y servicios comerciales de ataque por encargo.
Las fuerzas de seguridad también trabajan para reducir esa disponibilidad. La operación internacional PowerOFF actuó contra plataformas de DDoS bajo demanda con participación de 21 países. Europol informó de más de 75.000 usuarios identificados, 53 dominios desactivados, 25 registros y cuatro detenciones.
Cloudflare registró su máximo mensual en abril, con 6,46 billones de solicitudes y 165 PB de volumen DDoS, y posteriormente observó una disminución que posiblemente esté relacionada con la operación policial. Sin embargo, la compañía aclara que esto es solo una hipótesis, no una causalidad demostrada.
Para la infraestructura de Internet, la primera mitad de 2026 presenta un escenario en el que coexisten dos extremos.
Por un lado, ataques relativamente pequeños están al alcance de más actores. Por otro, las botnets y las técnicas de amplificación empujan los volúmenes de ataque a varios terabits por segundo.
El reto técnico ya no es solo contar con una conexión ultra grande. La defensa contra DDoS está convirtiéndose en un desafío distribuido de capacidad, enrutamiento, filtrado y automatización, donde la detección debe realizarse lo más cerca posible del origen y antes de que el tráfico sobrecargue los componentes más limitados de la infraestructura.
Preguntas frecuentes
¿Cuántos ataques DDoS superiores a 1 Tbps detectó Cloudflare?
Cloudflare afirmó haber mitigado 935 ataques de capa de red superiores a 1 Tbps en el primer semestre de 2026. De estos, 805 ocurrieron entre abril y junio.
¿Por qué un ataque DDoS corto puede ser peligroso?
Porque puede saturar enlaces o equipos de red antes de que exista tiempo para una intervención manual. Cloudflare indica que el 90,60 % de los ataques observados duró menos de diez minutos.
¿Qué diferencia hay entre DNS Flood y DNS Amplification?
DNS Flood intenta saturar directamente los servidores DNS con muchas consultas. DNS Amplification, en cambio, usa servidores DNS de terceros y direcciones IP falsificadas para multiplicar el tráfico dirigido a la víctima.
¿Qué significa que un país aparezca como origen de ataques DDoS?
Indica desde dónde se detectó que llega el tráfico, no necesariamente desde dónde se ejecuta el ataque. Las botnets usan dispositivos comprometidos en diversos países, por lo que el origen geográfico puede ser solo una referencia.