Informe sobre amenazas DDoS de Cloudflare del 3.er trimestre de 2026: mayor cantidad, menor tamaño

Te damos la bienvenida a la 18.° edición del informe sobre amenazas DDoS de Cloudflare. Esta edición cubre el tercer trimestre de 2026, julio, agosto y septiembre, y devuelve la serie a su cadencia trimestral tras el volumen combinado del primer semestre de 2026. El análisis es realizado por Cloudforce One, la organización de información sobre amenazas de Cloudflare, que proporciona un análisis integral del panorama de amenazas en evolución de los ataques DDoS, basándose en los datos de la red de Cloudflare.

Información clave

1. Los ataques de corta duración y bajo ancho de banda que duran menos de 10 minutos y con una tasa menor de 1 GB/s aumentaron un 208 %. Por el contrario, los ataques hipervolumétricos que superan 1 Tb/s se desplomaron casi un 69 % respecto al segundo trimestre, lo que posiblemente refleje las medidas adoptadas por los gobiernos a principios de año contra cuatro importantes redes de bots (botnets) de la Internet de las cosas (IoT). Sin embargo, siguen apareciendo variantes, lo que demuestra que las botnets de IoT siguen siendo una amenaza duradera y de gran volumen para la infraestructura de la red.
2. Los atacantes cambiaron drásticamente sus tácticas de reflexión y amplificación, y abandonaron de forma repentina las inundaciones de CLDAP, que cayeron un 99,5 % intertrimestral. En su lugar, se centraron en gran medida en otros protocolos sin conexión, lo que provocó un aumento del 215 % en la amplificación de DNS y del 122 % en las inundaciones de UDP en general.
3. Los objetivos de los ataques se ampliaron significativamente tanto en industrias como en geografías, y los Estados Unidos reclamaron la posición más atacada que antes tenía China. Canadá e Israel experimentaron grandes picos en los ataques específicos, los que saltaron 10 y 7 puestos respectivamente, mientras hacían malabarismos con las tensiones geopolíticas, las disputas comerciales y los eventos nacionales polémicos. Al mismo tiempo, el enfoque operativo se alejó de las organizaciones de medios de comunicación para dirigirse a una mayor variedad de objetivos de la industria, incluidos los servicios al consumidor, la infraestructura de Internet y el entretenimiento para adultos.

El tercer trimestre en cifras: 8.200 ataques DDoS cada hora

En el tercer trimestre de 2026, a través de su red, Cloudflare mitigó de forma autónoma 18,2 millones de ataques DDoS en la capa de red y 14,4 billones de solicitudes DDoS de HTTP. Esto equivale a aproximadamente 8.226 ataques DDoS de la capa de red por hora, o cerca de 197.400 por día (uno por cada 0.44 segundos). El tráfico mitigado en el trimestre sumó un total de 272,6 PB en la capa de red y 95,1 PB en la capa de HTTP.

Mayor cantidad, menor tamaño

En este trimestre, se han acelerado los ataques de corta duración, rango medio y gran cantidad, la firma operativa de los servicios "booter" de DDoS bajo demanda. Estos ataques estaban dirigidos principalmente a las industrias de software informático, apuestas y casinos, y tecnología de la información. Cloudflare mitigó de manera autónoma 18,2 millones de ataques DDoS de capa de red en el tercer trimestre de 2026, un aumento del 208 % respecto al mismo trimestre en 2025:

• El 96 % terminó en menos de 10 minutos.
• El 98 % se mantuvo por debajo de 1 Gbps, más que suficiente para abrumar a un servidor o sitio web

Por otro lado, los ataques hipervolumétricos a nivel de red (aquellos superiores a 1 Tb/s) invirtieron la tendencia y se redujeron a 251 ataques en el tercer trimestre frente a los 805 que se produjeron en el segundo. Esto coincidió con la acción de los gobiernos a principios de 2026, que desmantelaron cuatro de las mayores botnets de DDoS IoT: Aisuru, KimWolf, JackSkid y Mossad.

Sin embargo, la botnet basada en IoT sigue siendo una amenaza persistente de alto volumen a medida que el ecosistema genera nuevas variantes como Dysphoria y Evooo1Bot. La mitigación clasificada como Miraialcanzó su punto máximo en agosto con 57,23 PB, y representó el 46,5 % de todos los bytes de la capa de red mitigados en el tercer trimestre, incluyendo cuatro días, el 16, 19, 23 y 25 de agosto, que cada uno superó los 3 petabytes. El ataque de Mirai más prolongado e ininterrumpido del trimestre duró 49,7 horas entre el 19 y el 21 de agosto.

Cambios en los vectores: el colapso del protocolo CLDAP y el aumento de UDP

El cambio de vector más drástico del trimestre fue la disminución. Los ataques con CLDAP (Protocolo ligero de acceso a directorios sin conexión), donde consultas pequeñas con una dirección IP de víctima falsificada engañan a los controladores de dominio público (UDP 389) para reflejar respuestas masivas y amplificadas a la víctima, experimentaron un aumento drástico del 580 % intertrimestral en el primer semestre del año, antes de desplomarse a solo un 0,05 % de los ataques en el tercer trimestre.

Mientras tanto, la amplificación de DNS aumentó un 215 %, y representó el 3,43 % de todos los ataques a nivel de red al aprovechar la resolución de DNS abiertos mediante un patrón de reflexión y amplificación similar al de CLDAP: pequeñas consultas falsificadas y grandes respuestas enviadas a la víctima. Otros ataques como las inundaciones UDP aumentaron del 14,06 % al 31,31 % de los ataques a nivel de red. UDP es un protocolo de transporte no orientado a conexión, lo que lo convierte en un vehículo conveniente para ataques volumétricos directos: los atacantes envían una gran cantidad de paquete UDP a puertos aleatorios o específicos del objetivo, lo que obliga al objetivo a verificar si existe una aplicación a la escucha y a responder, y consume sus recursos de red y de informática.

Los sectores más afectados

Aunque los medios de comunicación, la producción y la edición siguieron siendo el sector más atacado en el tercer trimestre de 2026, su cuota global se redujo de forma marcada a la mitad del nivel del segundo trimestre, y el enfoque se ha trasladado a un abanico más amplio de sectores. Internet pasó de estar fuera de los 10 primeros puestos a ocupar el n.º 6; los servicios al consumidor y el entretenimiento para adultos también entraron, y alcanzaron los puestos n.º 8 y n.º 9 respectivamente.

Las ubicaciones más atacadas

Aumentos geográficos: Canadá e Israel suben en la clasificación

Además de un período ya turbulento de disputas comerciales bilaterales, Canadá pasó del puesto 16 al 6, impulsado por ataques contra sus sectores de venta minorista, telecomunicaciones, proveedores de servicios y operadores, y marketing y publicidad.

Israel avanzó 7 posiciones hasta el puesto n.º 10 como resultado de la actividad DDoS sostenida a mediados de septiembre. Aunque este periodo se caracterizó por decisiones polémicas antes de las elecciones parlamentarias y la festividad de Rosh Hashaná, este año también se registró un aumento masivo y documentado de ciberguerra hostil contra Israel.

Principales 10

Estados Unidos fue la ubicación más atacada en el tercer trimestre de 2026, mientras que China ocupó el puesto n.º 2 e Indonesia se situó en los tres primeros puestos con un 2,93 % del total de ataques. La combinación de Estados Unidos y China en los primeros lugares concuerda con el primer semestre de 2026, cuando China ocupó el n.º 1 y Estados Unidos el n.º 2. Los países han intercambiado posiciones a medida que la atención y las preferencias de los atacantes cambian.

Fortalecer las defensas globales y ayudar a proteger Internet

La red de Cloudflare está diseñada para absorber este tipo de crecimiento en las amenazas DDoS. Cada servicio de nuestra red está protegido por una protección DDoS gratuita y sin medición, que se ejecuta en cada una de nuestras más de 330 ciudades en todo el mundo, respaldada por 500 Tb/s de capacidad de red. La autonomía es el punto clave: nuestros sistemas detectan y mitigan los ataques sin intervención humana. Y lo necesitan, porque como dejan claro las distribuciones de este trimestre, la mayoría de los ataques terminan mucho antes de que un analista humano pueda ver la alerta, y los ataques más grandes siguen superando con regularidad 1 Tb/s con una cadencia medida en cientos por trimestre.

Para ayudar a los proveedores de alojamiento, las plataformas de informática en la nube y los proveedores de servicios de Internet a identificar y eliminar las direcciones IP y las cuentas abusivas que lanzan estos ataques, aprovechamos el punto de observación único de Cloudflare sobre los ataques DDoS para proporcionar un feed gratuito de amenazas de botnets DDoS para proveedores de servicios.

Más de 800 redes de todo el mundo se han suscrito a este servicio y ya hemos observado una gran colaboración en toda la comunidad para desmantelar nodos de botnets. Para acceder a las actualizaciones sobre las tendencias de ataque en Internet de forma continua, visita Cloudflare Radar.

Acerca de Cloudforce One

Impulsado por la misión de ayudar a proteger Internet, Cloudforce One aprovecha la telemetría de la red global de Cloudflare, que protege aproximadamente el 20 % de la web, para impulsar la investigación sobre amenazas y la respuesta operativa, y proteger sistemas críticos para millones de organizaciones en todo el mundo.