Cloudflare publicó este 29 de octubre su reporte de amenazas DDoS del tercer trimestre de 2026, que abarca julio, agosto y septiembre. Su red mitigó automáticamente más de 8,200 ataques por hora: el cambio no estuvo en golpes cada vez más grandes, sino en una avalancha de ataques cortos.

📊 En total fueron 18.2 millones de ataques de capa de red, 208% más que en el mismo trimestre de 2025; 96% duró menos de 10 minutos y 98% se mantuvo por debajo de 1 Gbps, un caudal que aun así puede saturar un servidor o sitio. Cloudflare relaciona este patrón de muchos ataques breves con los servicios de DDoS por encargo, conocidos como booters, y señala como objetivos principales al software, las apuestas y casinos, y las tecnologías de la información.

⚙️ También cambió la forma de atacar: las inundaciones CLDAP cayeron 99.5% frente al trimestre anterior, mientras la amplificación DNS subió 215% y las inundaciones UDP generales crecieron 122%. Los ataques por reflexión aprovechan consultas pequeñas con la IP de la víctima falsificada para dirigirle respuestas mucho mayores; en CLDAP intervienen controladores de dominio públicos mediante el puerto UDP 389, y en DNS, resolutores abiertos.

🔒 En el otro extremo, los ataques superiores a 1 Tbps bajaron de 805 en el segundo trimestre a 251 en el tercero, una caída cercana a 69%. Cloudflare plantea una posible relación con el desmantelamiento, a principios de 2026, de cuatro grandes botnets de dispositivos IoT —Aisuru, KimWolf, JackSkid y Mossad—, pero advierte que siguen apareciendo variantes como Dysphoria y Evooo1Bot.

🌐 El mapa de objetivos también se amplió: Estados Unidos desplazó a China del primer puesto, mientras más sectores entraron entre los más atacados. Ojo: medios, producción y publicaciones siguió siendo la industria más atacada, aunque su participación quedó aproximadamente en una cuarta parte de la registrada el trimestre previo.

Las cifras detrás de la avalancha

  • Volumen y frecuencia: además de los 18.2 millones de ataques de capa de red, Cloudflare mitigó 14.4 billones de solicitudes HTTP DDoS. El promedio de ataques de red fue de aproximadamente 8,226 por hora, 197,400 al día o uno cada 0.44 segundos; el tráfico mitigado sumó 272.6 PB en capa de red y 95.1 PB en HTTP.
  • Cambio de protocolos: CLDAP pasó de un aumento trimestral de 580% durante la primera mitad del año a representar apenas 0.05% de los ataques en el tercer trimestre. La amplificación DNS alcanzó 3.43% de los ataques de red y las demás inundaciones UDP pasaron de 14.06% a 31.31%.
  • Cómo desgasta UDP: al no requerir una conexión previa, permite enviar grandes cantidades de paquetes a puertos aleatorios o específicos. El destino consume recursos de red y cómputo al comprobar si hay una aplicación escuchando y responder.
  • Mirai no desapareció: el tráfico mitigado bajo esa clasificación alcanzó su máximo en agosto, con 57.23 PB; el reporte le atribuye 46.5% de los bytes de capa de red mitigados en el trimestre. Los días 16, 19, 23 y 25 de agosto superaron individualmente los 3 PB, y el ataque Mirai sostenido más largo duró 49.7 horas, entre el 19 y el 21 de agosto.

Más sectores y países bajo presión

  • Industrias: Internet pasó de estar fuera de las primeras diez posiciones al sexto lugar. Servicios al consumidor y entretenimiento para adultos entraron en el octavo y noveno puestos, respectivamente.
  • Primeros lugares geográficos: Estados Unidos quedó primero, China segundo e Indonesia tercero, este último con 2.93% de los ataques. En la primera mitad de 2026, China había ocupado el primer lugar y Estados Unidos el segundo.
  • Canadá: subió del puesto 16 al sexto, con ataques contra comercio minorista, telecomunicaciones, proveedores de servicios y operadores, y marketing y publicidad. El reporte sitúa ese avance en un periodo de disputas comerciales bilaterales, sin establecer que estas causaran los ataques.
  • Israel: avanzó siete posiciones hasta el décimo lugar por actividad DDoS sostenida a mediados de septiembre. Cloudflare describe un contexto de decisiones polémicas previas a elecciones parlamentarias, la festividad de Rosh Hashaná y un fuerte aumento documentado de actividad hostil de ciberguerra contra el país durante el año.

¿Por qué importa si administras un servicio?

Que un ataque sea más pequeño no significa que sea inofensivo: puede agotar la capacidad de un sitio y terminar antes de que una persona alcance a revisar la alerta. Esa combinación de duración corta y alta frecuencia pone el foco en la detección y mitigación automáticas, sin quitar de la mesa los ataques que todavía rebasan 1 Tbps.

  • La defensa que describe Cloudflare: todos los servicios en su red cuentan con protección DDoS gratuita y sin medición de consumo, desplegada en más de 330 ciudades y respaldada por 500 Tbps de capacidad. La empresa afirma que sus sistemas detectan y mitigan ataques sin intervención humana.
  • Colaboración entre proveedores: su DDoS Botnet Threat Feed gratuito ayuda a empresas de alojamiento, plataformas de nube y proveedores de Internet a identificar IP y cuentas que originan ataques. Más de 800 redes se han inscrito y Cloudflare reporta colaboración para desactivar nodos de botnets; Cloudflare Radar ofrece seguimiento continuo de tendencias.
  • Alcance del análisis: esta es la edición 26 del reporte y retoma la publicación trimestral después del volumen conjunto del primer semestre de 2026. La elabora Cloudforce One, la organización de inteligencia de amenazas de Cloudflare, con telemetría de una red que, según la empresa, protege más de 20% de la web y sistemas críticos de millones de organizaciones; sus cifras describen lo observado en esa red.

💬 Si administras una web o una API, ¿tu monitoreo detectaría un ataque que empieza y termina en menos de 10 minutos?

¿Pero deveras? 🌵💚