935 ataques por encima de 1 Tbps son el titular, no la historia completa

El informe de Cloudflare sobre amenazas DDoS correspondiente al primer semestre de 2026, publicado el 11 de agosto de 2026, puso cifras concretas a un año de presión creciente: 23,2 millones de ataques DDoS de capa de red mitigados, 29,64 billones de solicitudes HTTP DDoS bloqueadas, y un promedio de unos 5.343 ataques de capa de red cada hora. El dato que corre más rápido es el extremo: 935 ataques individuales superaron el terabit por segundo en el primer semestre, un incremento del 519 por ciento en ese volumen entre el primer y el segundo trimestre.

Esas cifras son reales y dan para titulares. Un recuento de ataques y un recuento de terabits muestran cuánto ruido se generó, pero no de dónde vino ese tráfico, y precisamente ahí está el hallazgo más útil del informe: un cambio en la forma en que los atacantes construyeron ese volumen, algo que altera lo que debe parecer una postura de seguridad defendible para una empresa que nunca aparecerá en un titular.

De poseer una botnet a tomar prestados los servidores de otro

Dos categorías de ataque de capa de red se movieron con fuerza en los datos de Cloudflare. Las inundaciones DNS pasaron del 25,7 por ciento de los ataques de capa de red en el primer trimestre al 40,0 por ciento en el segundo. Las inundaciones CLDAP, una técnica de reflexión y amplificación, crecieron un 580 por ciento de un trimestre a otro y se convirtieron en el tercer vector de ataque más frecuente del informe. Ambas pertenecen a la misma familia: en lugar de disparar tráfico directamente desde una botnet propia, el atacante envía una pequeña solicitud falsificada al resolutor DNS o al servidor LDAP de un tercero, suplantando la dirección del objetivo como remitente, y deja que ese servidor ajeno envíe una respuesta mucho mayor a la víctima.

El atractivo para un atacante es simple: estas técnicas multiplican de forma rutinaria una solicitud pequeña hasta convertirla en una respuesta mucho mayor, de modo que un ancho de banda modesto por parte del atacante se transforma en una inundación considerable sobre el objetivo. Lo que importa para quien se defiende es dónde está la palanca. Una inundación de botnet clásica está limitada por cuántas máquinas comprometidas haya reunido el atacante. Un ataque de reflexión está limitado por cuántos resolutores DNS mal configurados o servidores LDAP expuestos existen en el internet abierto para que el atacante rebote tráfico en ellos, y esa cifra escapa en gran medida al control de un único objetivo.

Su exposición depende ahora de la mala configuración de otro

Ese es el punto operativo en el que conviene detenerse. Una empresa puede blindar su propio perímetro, actualizar sus propios servidores, y aun así sufrir un ataque de reflexión mayor simplemente porque miles de resolutores DNS abiertos o servidores LDAP expuestos permanecen sin parchear en algún otro rincón de internet, disponibles para que cualquier atacante los reclute sin haberlos comprometido jamás. La exposición DDoS ha dejado en parte de ser una función de la superficie de ataque propia y se ha convertido en una función de la higiene colectiva de internet.

Eso cambia lo que debería significar en la práctica reducir el riesgo DDoS. Contratar una conexión más grande sigue ayudando contra el volumen bruto, pero apenas sirve para evitar ser usado como reflector o para resistir uno. Las medidas más útiles están más arriba en la cadena y son de carácter colaborativo: filtrado de salida para que la propia red no pueda ser reclutada como reflector ajeno, y una conversación directa con el proveedor de internet o el CDN sobre el bloqueo de vectores de amplificación conocidos, como DNS y CLDAP, en el borde de la red, en lugar de dimensionar la capacidad solo pensando en el último ataque sufrido.

El sector público sube 20 puestos - hay que vigilarlo, no archivarlo

La advertencia más concreta del informe es un objetivo, no una técnica. El sector público saltó del puesto 29 al puesto 9 entre los sectores más atacados, el mayor movimiento de un solo sector que Cloudflare ha registrado en lo que va de 2026, un cambio que el informe vincula a una campaña que denomina Operation Epic Fury. Medios, producción y publicaciones siguieron siendo, en ambos trimestres, el sector más atacado por volumen de solicitudes HTTP DDoS, con un 14,2 por ciento del total. Turquía ascendió al tercer país más atacado, algo que Cloudflare relaciona con la fecha de la cumbre de la OTAN celebrada en julio en Ankara.

Nada de esto es un patrón histórico estable que una administración pública o una organización cercana al sector público pueda encogerse de hombros. Un salto de 20 puestos en medio año es un cambio en marcha sobre hacia dónde apuntan los atacantes, y golpea con más fuerza precisamente a las organizaciones de la UE y el Reino Unido, organismos públicos, empresas de suministros esenciales y operadores cercanos a la sanidad, que suelen sostener la infraestructura más antigua y los presupuestos DDoS más ajustados.

Qué debería cambiar este trimestre un operador de la UE o el Reino Unido

Empiece por una auditoría, no por una compra. Compruebe si sus propios resolutores DNS responden a consultas procedentes de todo internet en lugar de solo a clientes conocidos, porque un resolutor sin restricciones es exactamente el tipo de infraestructura que, según este informe, los atacantes están tomando prestada. Haga lo mismo con cualquier servicio LDAP expuesto más allá del límite de su red. Ninguna de las dos correcciones exige hardware nuevo, ambas lo sacan a usted de la lista de posibles reflectores, y ambas son el tipo de tarea que una prueba de penetración señala y que un equipo de TI saturado suele posponer.

Después mantenga la conversación más difícil con su proveedor de internet o su CDN: pregunte de forma explícita si su mitigación DDoS bloquea vectores de amplificación conocidos, como las inundaciones DNS y CLDAP, en el borde de la red, además de cuánto volumen bruto son capaces de absorber. Si trabaja en administración pública, suministros esenciales o servicios cercanos a la sanidad, trate el salto de puesto de su sector como algo actual, no como historia, y adelante su revisión DDoS en el calendario en lugar de esperar al próximo ciclo de renovación para plantearla.

Leer a continuación: 4.000 apps en 30 días: la apuesta IA de Cloudflare  |  La especificación va tres revisiones por delante del producto