Cloudflare publica la 26.ª edición de su DDoS Threat Report, dedicada al tercer trimestre de 2026 (julio, agosto y septiembre). El análisis, elaborado por Cloudforce One, describe un cambio en el perfil de las campañas DDoS: más ataques de corta duración y alto recuento, y una reducción notable de los megaataques volumétricos.
Qué ha cambiado: ataques cortos y «swarms» frente a gigantes
Durante el trimestre, Cloudflare mitigó 18,2 millones de ataques a nivel de red y 14,4 billones de solicitudes HTTP DDoS. Eso equivale a aproximadamente 8.226 ataques de red por hora (unos 197.400 al día), lo que sugiere una actividad muy frecuente: en promedio, un ataque cada 0,44 segundos. El tráfico mitigado ascendió a 272,6 PB en la capa de red y 95,1 PB en la capa HTTP.
El informe subraya la aceleración de ataques de ráfaga corta, de alcance medio y alto recuento, característicos de los servicios de DDoS‑for‑hire o «booter». Estos incidentes afectaron sobre todo a industrias como el software, los juegos de azar y casinos, y la tecnología de la información.
Menos ataques hyper‑volumétricos pero la amenaza IoT persiste
Los ataques a nivel de red que superan 1 Tbps descendieron notablemente: 251 en Q3 frente a 805 en el trimestre anterior. Cloudflare liga esa caída a las acciones de las fuerzas del orden que a principios de 2026 desarticularon cuatro grandes botnets IoT (Aisuru, KimWolf, JackSkid y Mossad).
Aun así, las botnets basadas en dispositivos IoT siguen siendo una amenaza de alto volumen mientras surgen nuevas variantes —el informe menciona ejemplos como Dysphoria y Evooo1Bot—. Las mitigaciones clasificadas como de la familia Mirai alcanzaron su máximo en agosto, con 57,23 PB mitigados, que representaron el 46,5% de los bytes mitigados en la capa de red durante el trimestre. Hubo días en los que cada uno superó los tres petabytes, y la mayor operación Mirai documentada en el periodo se prolongó 49,7 horas entre el 19 y el 21 de agosto.
Vectorialmente: colapso de CLDAP y auge de DNS y otros UDP
El informe destaca un cambio drástico en los vectores empleados. Los ataques por CLDAP —reflejo y amplificación mediante controladores de directorio en UDP 389—, que habían mostrado un gran aumento en la primera mitad del año, se desplomaron hasta representar apenas el 0,05% de los ataques en Q3.
En contraste, las amplificaciones DNS se incrementaron un 215% y supusieron el 3,43% de los ataques de red. Otras formas de inundación UDP también subieron, pasando del 14,06% al 31,31% del total. El uso de UDP en ataques volumétricos responde a su naturaleza sin conexión: los paquetes spoofeados provocan respuestas o consumen recursos de la víctima al obligarla a procesar tráfico no deseado.
Quiénes y dónde fueron atacados
Media, producción y publicaciones siguieron siendo el sector más atacado en Q3, aunque con un peso muy reducido respecto a Q2; la actividad se desplazó a una gama más amplia de industrias. Internet, servicios al consumidor y entretenimiento adulto subieron posiciones dentro del ránking de sectores atacados.
Por países, Estados Unidos fue el más atacado en el trimestre, seguido de China; Indonesia ascendió hasta el tercer puesto con el 2,93% del total. Destaca además el aumento de ataques hacia Canadá y la entrada de Israel entre las diez primeras localizaciones, vinculado a actividad DDoS sostenida a mediados de septiembre.
Impacto práctico y recomendaciones
Cloudflare recuerda que su red ofrece protección DDoS gratuita y no medida en más de 330 ciudades, con 500 Tbps de capacidad, y que sus sistemas mitigan de forma autónoma para responder a la velocidad y volumen actuales. Para administradores de servidores y responsables de sitios web, las consecuencias prácticas del informe son claras:
- Prepararse para ataques cortos y repetidos: las defensas deben automatizarse y estar afinadas para detectar ráfagas de corta duración.
- Proteger servicios expuestos que pueden amplificar ataques (DNS, servicios UDP públicos) mediante configuración correcta, filtrado y cierre de resolutores abiertos.
- Monitorear tráfico y aplicar políticas de rate‑limiting y mitigación automática en la capa HTTP y de red.
- Colaborar con feeds de amenazas y proveedores de red para bloquear nodos de botnet identificados.
El informe de Cloudflare ofrece además un DDoS Botnet Threat Feed para proveedores de servicios, y anima a la comunidad a aprovechar este tipo de señales para desactivar nodos abusivos y fortalecer la resiliencia colectiva.
Lee también:
- Condenan a 70 meses a afiliado ucraniano de los ransomware Nefilim y Hive por atacar empresas y hospitales
- Investigadores atribuyen a Volt Typhoon la red encubierta ‘Silent Train’ usada en cuatro campañas con zero-days
Fuente: Cloudflare Blog
