Informe de Cloudflare sobre las amenazas DDoS en el tercer trimestre de 2026 | Más ataques masivos, pero menos hipervolumétricos

Te damos la bienvenida a la 26.ª edición de nuestro informe sobre las amenazas DDoS. Esta edición abarca el tercer trimestre de 2026, julio, agosto y septiembre, y vuelve a la periodicidad trimestral habitual tras el volumen que abarcaba el primer semestre de 2026. El análisis lo ha elaborado Cloudforce One, la organización de información sobre amenazas de Cloudflare, y ofrece un análisis exhaustivo de la evolución del panorama de amenazas de los ataques de denegación de servicio distribuido (DDoS) basado en datos de la red de Cloudflare.

Aspectos clave

1. Los ataques de corta duración y bajo ancho de banda, que duran menos de 10 minutos y alcanzan 1 GB/s, se dispararon un 208 %. Por el contrario, los ataques hipervolumétricos, que superan 1 TB/s, cayeron casi en un 69 % respecto al segundo trimestre, lo que quizá refleje las medidas tomadas por las fuerzas del orden contra cuatro importantes botnets del Internet de las cosas (IoT) a principios de año. Sin embargo, siguen apareciendo variantes, lo que demuestra que las botnets del IoT siguen siendo una amenaza persistente y de gran volumen para la infraestructura de red.
2. Los atacantes cambiaron drásticamente sus tácticas de reflexión y amplificación, abandonando de golpe las inundaciones CLDAP, que se desplomaron un 99,5 % respecto al trimestre anterior. En su lugar, se decantaron en gran medida por otros protocolos sin conexión, lo que provocó un aumento del 215 % en la amplificación DNS y un incremento del 122 % en las inundaciones UDP en general.
3. Los objetivos de los ataques se ampliaron considerablemente tanto en los distintos sectores como en las distintas zonas geográficas, y Estados Unidos volvió a ocupar el primer puesto en cuanto a número de ataques, desbancando a China. Canadá e Israel sufrieron fuertes picos en los ataques selectivos, subiendo 10 y 7 puestos respectivamente, mientras se enfrentaban a tensiones geopolíticas, disputas comerciales y acontecimientos nacionales polémicos. Al mismo tiempo, el enfoque operativo se alejó de los medios de comunicación para centrarse en una gama más amplia de objetivos sectoriales, como los servicios al consumidor, la infraestructura de Internet y el entretenimiento para adultos.

El tercer trimestre en cifras | 8200 ataques DDoS cada hora

En toda su red, durante el tercer trimestre de 2026, Cloudflare mitigó de forma autónoma 18,2 millones de ataques DDoS a la capa de red y 14,4 billones de solicitudes HTTP DDoS. Eso supone aproximadamente 8226 ataques DDoS a la capa de red por hora, o unos 197 400 al día (un ataque cada 0,44 segundos). El tráfico mitigado durante el trimestre ascendió a un total de 272,6 petabytes (PB) en la capa de red y 95,1 PB en la capa HTTP.

Más ataques masivos, pero menos hipervolumétricos

Los ataques de corta duración, de alcance medio y con un gran número de paquetes, la firma operativa de los servicios de "booter" de DDoS por encargo, se han intensificado este trimestre. Estos ataques se dirigieron principalmente a los sectores del software informático, las apuestas y casinos, y la tecnología de la información. Cloudflare mitigó de forma autónoma 18,2 millones de ataques DDoS a la capa de red en el tercer trimestre de 2026, un aumento del 208 % respecto al mismo trimestre de 2025:

• El 96 % finalizó en menos de 10 minutos
• El 98 % se mantuvo por debajo de 1 GB/s, más que suficiente para saturar un servidor o un sitio web

Por otro lado, los ataques hipervolumétricos a nivel de red (aquellos que superan 1 TB/s) cambiaron de tendencia, bajando a 251 ataques en el tercer trimestre desde los 805 en el segundo trimestre — lo que coincidió con una operación policial a principios de 2026 que desmanteló cuatro de las botnets DDoS del IoT más grandes: Aisuru, KimWolf, JackSkid y Mossad.

Aun así, las botnets basadas en IoT siguen siendo una amenaza constante de gran volumen, ya que el ecosistema genera continuamente nuevas variantes, como Dysphoria y Evooo1Bot. La mitigación clasificada como Mirai alcanzó su máximo en agosto con 57,23 PB, lo que representa el 46,5 % de todos los bytes mitigados en la capa de red en el tercer trimestre, incluyendo cuatro días, el 16, el 19, el 23 y el 25 de agosto, en los que se superaron los tres petabytes cada uno. El ataque de Mirai más prolongado del trimestre duró 49,7 horas, entre el 19 y el 21 de agosto.

Cambios en los vectores | El colapso de CLDAP y el auge de UDP

El cambio más drástico en los vectores del trimestre fue a la baja. Los ataques CLDAP (protocolo ligero de acceso a directorios sin conexión), en los que pequeñas consultas con una dirección IP falsificada de la víctima engañan a los controladores de dominio público (UDP 389) para que reflejen respuestas masivas y amplificadas de vuelta al objetivo, experimentaron un espectacular aumento del 580 % respecto al trimestre anterior en la primera mitad del año, antes de desplomarse hasta representar solo el 0,05 % de los ataques en el tercer trimestre.

Por su parte, la amplificación DNS se disparó un 215 % hasta representar el 3,43 % de todos los ataques a la capa de red, aprovechando la resolución DNS abierta en un patrón de reflexión y amplificación similar al del CLDAP: pequeñas consultas falsificadas y respuestas enormes dirigidas a la víctima. Otros ataques de inundación UDP pasaron del 14,06 % al 31,31 % de los ataques a la capa de red. UDP es un protocolo de transporte sin conexión, lo que lo convierte en un medio ideal para los ataques volumétricos puros. Los atacantes envían un gran número de paquetes UDP a puertos aleatorios o específicos del objetivo, obligando a este a comprobar si hay alguna aplicación a la escucha y a responder, lo que agota sus recursos de red y de procesamiento.

Sectores más afectados

Aunque el sector de los medios de comunicación, la producción y la edición siguió siendo el más afectado en el tercer trimestre de 2026, su cuota global es aproximadamente una cuarta parte de la del segundo trimestre, y el foco se ha desplazado a un conjunto más amplio de sectores. Internet pasó de estar fuera de los 10 primeros puestos al n.º 6; los servicios al consumidor y el entretenimiento para adultos también subieron en la clasificación, alcanzando el n.º 8 y el n.º 9, respectivamente.

Países más afectados por los ataques

Aumentos geográficos | Canadá e Israel suben en la clasificación

En un periodo ya de por sí turbulento por las disputas comerciales bilaterales, Canadá saltó del puesto n.º 16 al n.º 6, impulsado por los ataques contra sus sectores de comercio minorista, telecomunicaciones, proveedores de servicios y operadores, y marketing y publicidad.

Israel escaló 7 puestos hasta el n.º 10 como resultado de una actividad DDoS sostenida a mediados de septiembre. Aunque este periodo se caracterizó por decisiones polémicas de cara a las elecciones parlamentarias y la festividad de Rosh Hashaná, este año también se registró un aumento masivo y documentado de la guerra cibernética hostil contra Israel.

Diez principales puestos

Estados Unidos fue el país con más ataques en el tercer trimestre de 2026, mientras que China ocupó el segundo puesto e Indonesia se coló entre los tres primeros, con un 2,93 % del total de ataques. El hecho de que Estados Unidos y China ocupen los dos primeros puestos coincide con lo ocurrido en la primera mitad de 2026, cuando China quedó en primer lugar y Estados Unidos en segundo; ambos países han ido intercambiando posiciones a medida que cambian las prioridades y las preferencias de los atacantes.

Cómo reforzar las defensas globales y ayudar a proteger Internet

La red de Cloudflare está diseñada para absorber este tipo de crecimiento en las amenazas de DDoS. Todos los servicios de nuestra red están respaldados por una protección DDoS gratuita e ilimitada que funciona en cada una de nuestras más de 330  ciudades de todo el mundo, con una capacidad de red de 500 TB/s. La clave está en la autonomía: nuestros sistemas detectan y mitigan los ataques sin intervención humana. Y tienen que hacerlo, porque, como dejan claro las distribuciones de este trimestre, la mayoría de los ataques terminan mucho antes de que un analista humano pueda ver la alerta, y los ataques más grandes siguen superando regularmente 1 TB/s a un ritmo de cientos por trimestre.

Para ayudar a los proveedores de alojamiento, las plataformas de computación en la nube y los proveedores de servicios de Internet a identificar y bloquear las direcciones IP y cuentas maliciosas que lanzan estos ataques, aprovechamos la perspectiva única de Cloudflare sobre los ataques DDoS para ofrecer un servicio gratuito de alertas de amenazas de botnets DDoS para proveedores de servicios.

Más de 800 redes de todo el mundo ya se han registrado en este canal, y hemos observado una gran colaboración en toda la comunidad para desmantelar los nodos de botnets. Para ver una visión actualizada constantemente de las tendencias de los ataques en Internet, visita Cloudflare Radar.

Acerca de Cloudforce One

Con la misión de ayudar a proteger Internet, Cloudforce One se basa en la telemetría de la red global de Cloudflare, que protege más del 20 % de la web, para impulsar la investigación de amenazas y la respuesta operativa, protegiendo así los sistemas críticos de millones de organizaciones en todo el mundo.