Los ataques DDoS de más de 1 Tbps se disparan por la inestabilidad geopolítica

Los ataques DDoS que superan 1 Tbps de intensidad han crecido exponencialmente durante el primer semestre de 2026. Tanto, que entre el primer y segundo trimestre del año crecieron un 519%. En total, según la nueva edición del informe de Cloudflare sobre amenazas DDoS, en los seis primeros meses de este año la compañía mitigó 935 ataques DDoS en la capa de red de más de 1 Tbps.

En la primera mitad del año, la compañía ha mitigado un total de 23,2 millones de peticiones DDoS en la capa de red, y más de 29.000 millones de peticiones DDoS HTTP. Esto supone unos 5.343 ataques DDoS en la capa de red por hora, o unos 128.000 cada día.

El mes de abril marcó un récord en cuanto a actividad y volumen de ataques DDoS, con más de 6.000 millones de peticiones y una p0otencia de 165 petabytes. En los meses posteriores, las peticiones y el volumen de ataque se redujeron, lo que puede deberse a la actividad de la Operación PowerOFF, una acción conjunta de 21 países contra más de 75.000 usuarios de servicios de DDoS por encargo. Durante la operación, en la que se detuvo a cuatro personas, se desactivaron 53 dominios, además de dictarse 25 órdenes de registro.

Los ataques DDoS hipervolumétricos, que son los que superan el Terabit por segundo, los 1.000 millones de paquetes por segundo, o el millón de peticiones por segundo, siguen creciendo. Así, en el segundo trimestre de 2026, Cloudflare mitigó 805 ataques en la capa de red de más de 1 Tbps, un número que supera en más de seis veces los mitigados en el primer trimestre.

A pesar del crecimiento de ataques de gran volumen, la mediana de los ataques DDoS mitigados por Cloudflare entre enero y junio siguió siendo corta y de baja intensidad. Así, el 96,62% de ataques en la capa de red estuvieron por debajo de los 500 Mbps, y el 90,60% terminaron en menos de 10 minutos. Eso sí, hay que tener en cuenta que la mayoría de sitios de Internet no están preparados para soportar ni siquiera estos ataques de menos envergadura. Un ataque de 100 Mbps basta para saturar un servidor o un sitio web, y uno de 100 Gbps puede dejar sin funcionamiento a la mayoría de centros de datos que no tienen protección.

Los atacantes combinan a veces capas para explotar distintos puntos débiles en los equipos de red, en vez de optar por un ataque centrado en la capacidad de ancho de banda. En cuanto a su diración, la gran mayoría son muy cortos, y duran segundos en vez de minutos, y Cloudflare ha observado ataques que han durado 35 segundos de principio a fin.

Pero aunque el ataque pueda ser breve, sus consecuencias no lo son. Sus efectos en cadena, incluso de una ráfaga breve, pueden provocar inestabilidad en el enrutado, retransmisiones TCP, tiempos de espera de las aplicaciones y degradación de los servicios a posteriori que tarda horas o días en solucionarse por completo.

El tipo de ataque durante el periodo analizado por Cloudflare ha pasado de las inundaciones de botnet a los ataques de reflexión y amplificación. Los ataques basados en el DNS representaron el 34,3% de toda la actividad en la capa de red desde enero hasta junio de este año. Solo las inundaciones de DNS pasaron del 25,7% al 40% de los ataques en la capa de red con respecto al trimestre interior.

Las inundaciones CLDAP (vector de ataque que se aprovecha de los puntos finales LDAP sobre UDP de Active Directory expuestos) subieron nada menos que un 580% con respecto al trimestre anterior, y se convirtieron en el tercer vector de ataque más frecuente entre abril y junio pasados.

La geopolítica y los acontecimientos a nivel mundial han influido de manera notable en el panorama de ataques DDoS. El sector de los medios de comunicación, además, fue el más atacado en la primera mitad de 2026, ya que registró un 14,2% de todas las peticiones de DDoS HTTP mitigadas. Mientras tanto, Turquía subió al tercer puesto entre los países más atacados, en un marco que anticipaba la Cumbre de la OTAN celebrada en julio en Ankara.

Por otra parte, el sector gubernamental subió del puesto 29 al 9 en cantidad de ataques durante la operación Epic Fury, una serie de ataque de Israel y Estados Unidos contra los dirigentes y la infraestructura de Irán.  En 72 hora, el panorama de ataques DDoS cambió, y los investigadores de seguridad registraron 149 reivindicaciones de ataques DDoS de hacktivistas contra 110 organizaciones de 16 países. Alrededor del 47,8% de las organizaciones atacadas en el mundo en el marco de la operación pertenecían al sector público.

China fue el país más atacado entre enero y marzo, y en el segundo trimestre registró el 22,4% de todas las peticiones DDoS HTTP del mundo. Estados Unidos se mantuvo en segunda posición, con el 18,8% de los ataques. Turquía experimentó un aumento rápido de ataques, hasta colocarse en el tercer puesto de los países más atacados en el segundo trimestre, coincidiendo con los preparativos de la Cumbre de la OTAN.

En cuanto a los orígenes de los ataques Brasil se convirtió en estos primeros meses del año en el principal país de origen de los ataques de DDoS, por delante de Estados Unidos. Un 14,9% de los ataques se originó en Brasil, frente al 13,4% que salió de Estados Unidos. Entre abril y junio, además, Brasil fue el país de origen del 21,4% de todo el tráfico de peticiones DDoS mitigadas por Cloudflare. Indonesia se mantuvo en el tercer puesto en toda la primera motad del año.