Los ataques distribuidos de denegación de servicio (DDoS) están entrando en una nueva fase marcada por volúmenes extremos, campañas muy breves y una creciente relación con acontecimientos geopolíticos. Durante el primer semestre de 2026, Cloudflare asegura haber mitigado 935 ataques de capa de red que superaron 1 Tbps, mientras que entre el primer y el segundo trimestre el número de ataques por encima de ese umbral aumentó un 519 %.
Las claves de los ataques DDoS en 30 segundos
- Cloudflare registró 935 ataques de más de 1 Tbps durante los seis primeros meses de 2026.
- Solo en el segundo trimestre mitigó 805, más de seis veces la cifra del trimestre anterior.
- Los ataques basados en DNS representaron el 34,3 % de la actividad DDoS de capa de red.
- Medios y gobiernos ganaron peso entre los objetivos coincidiendo con conflictos y acontecimientos internacionales.
- El 90,6 % de los ataques duró menos de diez minutos, lo que reduce enormemente el margen para una respuesta manual.
Los datos proceden del informe semestral de Cloudforce One, la división de inteligencia de amenazas de Cloudflare, y deben interpretarse dentro de ese contexto: reflejan principalmente el tráfico observado y mitigado por su propia red, no todos los ataques producidos globalmente.
Aun con esa salvedad, la escala resulta relevante. Cloudflare contabilizó 23,2 millones de ataques DDoS de capa de red entre enero y junio, equivalentes a unos 5.343 cada hora o cerca de 128.000 diarios. Además, sus sistemas mitigaron 29,64 billones de solicitudes HTTP asociadas a ataques DDoS durante el mismo periodo.
Los ataques de más de 1 Tbps empiezan a dejar de ser excepcionales
La evolución de los ataques hipervolumétricos es probablemente el dato más importante del informe.
Cloudflare engloba dentro de esta categoría los ataques que superan alguno de tres umbrales: 1 terabit por segundo (Tbps), 1.000 millones de paquetes por segundo (Bpps) o un millón de solicitudes por segundo (Mrps).
Durante el segundo trimestre de 2026, sus sistemas mitigaron 805 ataques de capa de red superiores a 1 Tbps. El incremento respecto al trimestre anterior fue del 519 %.
La cifra ayuda a entender cuánto ha cambiado la escala de los DDoS. Un ataque de 100 Mbps puede resultar suficiente para saturar determinados servidores o conexiones pequeñas, mientras que alcanzar cientos de Gbps ya puede crear problemas serios para infraestructuras sin capacidad específica de mitigación. Superar 1 Tbps coloca el tráfico malicioso en otra categoría.
Además, aumentar el ancho de banda no es la única técnica disponible.
Un atacante puede intentar saturar la capacidad de una conexión mediante enormes cantidades de tráfico, pero también atacar la capacidad de procesamiento de routers, firewalls y otros dispositivos mediante tasas extremadamente elevadas de paquetes. En la capa de aplicación puede recurrir, en cambio, a grandes cantidades de peticiones HTTP.
Por eso medir exclusivamente los Gbps puede ofrecer una imagen incompleta de un DDoS moderno.
El fenómeno tampoco surge de la nada. El informe anual anterior de Cloudflare ya contabilizaba 47,1 millones de ataques DDoS durante 2025 y señalaba el crecimiento de botnets capaces de producir ataques hipervolumétricos. La compañía registró aquel año un máximo de 31,4 Tbps en un ataque UDP atribuido a la botnet Aisuru.
DNS y CLDAP vuelven a ganar protagonismo
También está cambiando la forma de generar ese tráfico.
Los ataques relacionados con el sistema de nombres de dominio (DNS), sumando DNS Flood y DNS Amplification, representaron el 34,3 % de los ataques de capa de red observados por Cloudflare durante el primer semestre.
En un DNS Flood, grandes cantidades de solicitudes intentan agotar directamente la capacidad de los servidores DNS autoritativos de la víctima. Si estos dejan de responder, los usuarios pueden tener problemas para localizar los servicios asociados al dominio aunque los servidores web sigan funcionando.
La amplificación DNS utiliza un mecanismo diferente. El atacante envía pequeñas consultas a resolutores DNS accesibles utilizando como dirección de origen falsificada la IP de la víctima. Los servidores responden entonces contra esa dirección con paquetes mayores, multiplicando el tráfico recibido por el objetivo.
El crecimiento de CLDAP Flood resulta todavía más acusado.
Cloudflare calcula un aumento trimestral del 580 %, suficiente para convertirlo en el tercer vector de ataque de capa de red más utilizado durante el segundo trimestre.
CLDAP (Connectionless Lightweight Directory Access Protocol) funciona sobre UDP y puede emplearse como mecanismo de reflexión y amplificación cuando existen servicios vulnerables o incorrectamente expuestos a Internet. Una pequeña petición falsificada puede generar una respuesta considerablemente mayor enviada contra la víctima.
El regreso de estas técnicas recuerda que los DDoS no dependen únicamente de enormes botnets de dispositivos comprometidos. Los atacantes siguen aprovechando servicios expuestos capaces de multiplicar el tráfico disponible.
Ataques enormes que pueden terminar antes de reaccionar
Paradójicamente, mientras aumenta el número de ataques gigantescos, la inmensa mayoría continúa siendo relativamente pequeña y corta.
El 96,62 % de los ataques de capa de red observados permaneció por debajo de 500 Mbps, mientras que el 90,60 % terminó antes de alcanzar los diez minutos.
Este último dato plantea un problema operativo.
El modelo tradicional de detectar una anomalía, generar una alerta, avisar al equipo de seguridad y aplicar manualmente una mitigación tiene dificultades cuando un ataque puede durar segundos.
Cloudflare ya ha documentado ataques hipervolumétricos de apenas 35 segundos. Para cuando un administrador recibe la alerta y empieza a investigar, la oleada principal puede haber terminado.
Eso no significa que el problema desaparezca automáticamente. Un pico muy intenso puede provocar retransmisiones TCP, saturación de tablas de estado, problemas de routing, timeouts y degradaciones en servicios dependientes.
La consecuencia técnica es que la automatización de la mitigación está dejando de ser únicamente una cuestión de comodidad operativa. Las infraestructuras expuestas directamente a Internet necesitan detectar y filtrar determinados ataques prácticamente en tiempo real.
La geopolítica también aparece en las estadísticas DDoS
El informe encuentra además correlaciones entre algunos acontecimientos internacionales y cambios en los objetivos atacados, aunque correlación temporal no significa necesariamente que todos esos ataques puedan atribuirse directamente a un actor o conflicto concreto.
Los medios de comunicación, producción y publicación fueron la categoría más atacada durante los dos primeros trimestres. Según Cloudflare, concentraron el 14,2 % de todas las solicitudes HTTP DDoS mitigadas, casi cuatro veces más que el siguiente sector.
La cobertura de conflictos como los de Irán y Ucrania, junto con grandes acontecimientos internacionales, habría aumentado su exposición.
También destaca el sector gubernamental. Pasó del puesto 29 durante el primer trimestre al noveno durante el segundo.
Cloudflare relaciona temporalmente este movimiento con la denominada Operation Epic Fury y con un aumento de las campañas hacktivistas. Según los datos recogidos en el informe, durante las 72 horas posteriores al inicio de las operaciones militares contra Irán se publicaron reivindicaciones de 149 ataques DDoS contra 110 organizaciones de 16 países.
Por países objetivo, China terminó el semestre en primera posición y concentró el 22,4 % de las solicitudes HTTP DDoS observadas durante el segundo trimestre. Estados Unidos registró el 18,8 %.
Turquía ascendió hasta el tercer puesto coincidiendo con el periodo previo a la cumbre de la OTAN celebrada en Ankara.
El origen aparente del tráfico también cambió. Brasil superó a Estados Unidos durante el semestre, con un 14,9 % frente al 13,4 %. Solo durante el segundo trimestre, el 21,4 % de las solicitudes DDoS mitigadas por Cloudflare procedía de direcciones identificadas en Brasil.
Estas cifras tampoco implican necesariamente que los atacantes estén físicamente en esos países. Una botnet utiliza dispositivos comprometidos distribuidos geográficamente y las técnicas de reflexión pueden complicar todavía más cualquier atribución.
Las operaciones policiales pueden alterar temporalmente el volumen
Abril fue el mes más intenso del semestre para Cloudflare, con 6,46 billones de solicitudes maliciosas y 165 PB de tráfico DDoS.
Después se produjo un descenso que la compañía considera potencialmente relacionado con Operation PowerOFF, aunque no establece una causalidad definitiva.
La operación internacional coordinada con apoyo de Europol actuó en abril contra los servicios de DDoS por encargo. Participaron autoridades de 21 países y se enviaron más de 75.000 advertencias a usuarios identificados. La actuación terminó además con 53 dominios desactivados, 25 órdenes de registro y cuatro detenciones.
Estos servicios, conocidos habitualmente como booters o stressers, han reducido considerablemente la barrera técnica para lanzar ataques. Europol señala que algunos pueden contratarse por cantidades de apenas 10 euros, permitiendo ejecutar campañas DDoS sin necesidad de controlar personalmente una botnet.
La combinación explica buena parte del problema al que se enfrentan actualmente operadores, proveedores cloud y empresas conectadas a Internet: los ataques son cada vez más accesibles por abajo y mucho mayores por arriba.
La cifra de 805 ataques superiores a 1 Tbps en apenas tres meses muestra especialmente bien ese cambio. Alcanzar un terabit por segundo continúa siendo una magnitud extrema, pero para las grandes redes de Internet ya no puede tratarse como un acontecimiento excepcional que sucede unas pocas veces al año.
Preguntas frecuentes
¿Cuántos ataques DDoS de más de 1 Tbps registró Cloudflare en 2026?
Cloudflare afirma haber mitigado 935 ataques DDoS de capa de red superiores a 1 Tbps durante el primer semestre de 2026. De ellos, 805 se produjeron durante el segundo trimestre.
¿Cuánto han aumentado los ataques DDoS superiores a 1 Tbps?
Entre el primer y el segundo trimestre de 2026, Cloudflare registró un incremento del 519 % en los ataques de capa de red que superaron 1 Tbps.
¿Cuál es actualmente uno de los principales vectores de ataques DDoS?
Los ataques relacionados con DNS representaron el 34,3 % de la actividad de capa de red registrada por Cloudflare durante el primer semestre. CLDAP también creció con fuerza, un 580 % entre trimestres.
¿Cuánto suele durar un ataque DDoS?
Aunque existen ataques enormes, el 90,60 % de los observados por Cloudflare durante el semestre terminó en menos de diez minutos. Esta corta duración dificulta que una mitigación basada únicamente en intervención humana pueda reaccionar a tiempo.
vía: cloudflare
