Un ataque nuevo cada 0,44 segundos: Cloudflare revela el alcance de la epidemia de DDoS
En tres meses, los sistemas de protección detuvieron 18,2 millones de ataques, pero la mayor novedad no fue la cifra.
Cada 0,44 segundos la infraestructura de Cloudflare repelía un nuevo ataque DDoS. En el tercer trimestre de 2026 la empresa detuvo 18,2 millones de ataques de red, un 208% más que un año antes. Al mismo tiempo, los golpes más potentes empezaron a aparecer con mucha menos frecuencia.
De julio a septiembre los sistemas de defensa de Cloudflare registraron un promedio de 8.226 ataques de red por hora, o alrededor de 197 400 al día. Además, la empresa bloqueó 14,4 billones de solicitudes HTTP maliciosas. El volumen total de tráfico filtrado alcanzó 272,6 PB a nivel de red y otros 95,1 PB a nivel de aplicaciones web. Las estadísticas abarcan la propia red de Cloudflare.
La naturaleza de los ataques también cambió. Alrededor del 96% de los incidentes de red terminaban en menos de diez minutos, y el 98% no superaban 1 Gbit/s. Incluso ese flujo basta para sobrecargar un servidor individual sin protección seria. Estas ráfagas cortas son características de los servicios que ofrecen DDoS por encargo. Con mayor frecuencia atacaban a desarrolladores de software, plataformas de juego y empresas de TI.
Al mismo tiempo, el número de ataques superiores a 1 Tbit/s se redujo de 805 en el segundo trimestre a 251 en el tercero, casi un 69%. Los investigadores sugieren una relación con la operación de marzo de las fuerzas del orden contra cuatro grandes botnets de dispositivos infectados del Internet de las cosas: Aisuru, KimWolf, JackSkid y Mossad. Cloudflare no afirma una relación de causalidad directa.
La amenaza procedente de dispositivos infectados no ha desaparecido. Cloudflare observa nuevas variantes de botnets, incluidas Dysphoria y Evooo1Bot. En agosto el volumen de tráfico bloqueado del grupo Mirai alcanzó 57,23 PB. Durante todo el trimestre, esos ataques representaron el 46,5% del tráfico de red filtrado. El episodio más largo duró 49,7 horas. Anteriormente, los especialistas estudiaron en detalle las capacidades de KimWolf.
Los atacantes cambiaron radicalmente las técnicas. La proporción de ataques que usan CLDAP, en los que una solicitud falsificada hace que el servidor envíe una respuesta amplificada a la víctima, se redujo al 0,05%. En comparación con el trimestre anterior, ese tipo de ataques disminuyó un 99,5%. En cambio, los ataques con amplificación por DNS aumentaron un 215% y los habituales ataques de inundación UDP se volvieron un 122% más frecuentes.
La proporción de ataques de inundación UDP aumentó del 14,06% al 31,31% de todos los ataques de red. Los atacantes envían numerosos paquetes a los puertos del servidor objetivo y consumen sus recursos de red y de cálculo. La amplificación por DNS funciona de forma diferente: pequeñas solicitudes con una dirección IP suplantada provocan respuestas grandes dirigidas a la víctima.
En la geografía de los ataques, EE. UU. recuperó el primer lugar, superando a China. Indonesia pasó al tercer puesto con una cuota del 2,93%. Canadá subió del puesto 16 al 6, Israel ganó siete posiciones y quedó décimo. Según el informe trimestral, los sectores líderes fueron los medios y la industria editorial, aunque su cuota se redujo aproximadamente a la cuarta parte respecto al trimestre anterior.
Cloudflare subraya que la protección automática se ha vuelto críticamente necesaria: la mayoría de los ataques termina más rápido de lo que un especialista puede reaccionar a la alerta. La empresa ofrece a los operadores un flujo gratuito de información sobre las direcciones de los botnets atacantes. Más de 800 redes de todo el mundo se han conectado al servicio.