Cloudflare detecta un cambio de estrategia en el cibercrimen: tras el desmantelamiento de grandes redes de bots, los atacantes recurren a ofensivas más cortas y difíciles de anticipar.
La amenaza digital no desaparece cuando las autoridades desmantelan las grandes redes de ciberdelincuentes. En ocasiones, simplemente cambia de forma. Los ataques de denegación de servicio (DDoS) rápidos y de corta duración han aumentado un 208 % durante el tercer trimestre de 2026, según el último informe de inteligencia de amenazas de Cloudflare.
La compañía señala que los atacantes están sustituyendo parte de las ofensivas masivas por operaciones breves, con menor ancho de banda y dirigidas a un abanico más amplio de empresas. El objetivo sigue siendo el mismo: saturar los sistemas informáticos y dejar fuera de servicio páginas web, aplicaciones y servicios digitales.
Entre julio y septiembre, los sistemas de protección de Cloudflare mitigaron más de 18 millones de ataques DDoS a nivel de red y bloquearon 14 billones de peticiones maliciosas a nivel de aplicación, según los datos recogidos por Digital Inside.
El cambio coincide con las operaciones policiales que desmantelaron grandes redes de bots durante los primeros meses del año. Pero el descenso de los ataques de mayor volumen no significa que el riesgo haya desaparecido. Los ciberdelincuentes están adaptando sus métodos y buscando nuevas formas de interrumpir servicios con menos recursos.
Más de 18 millones de ataques DDoS en tres meses
Las cifras del informe de Cloudflare ofrecen una imagen de la presión que soportan las infraestructuras digitales.
Durante el tercer trimestre de 2026, sus sistemas mitigaron:
- Más de 18 millones de ataques DDoS a nivel de red.
- 14 billones de peticiones maliciosas dirigidas a aplicaciones.
- Más de 270 petabytes de tráfico neutralizado en su infraestructura.
- Una media superior a 8 200 incidentes por hora, según el cálculo difundido por la fuente.
El volumen equivale, de acuerdo con esa estimación, a un incidente cada medio segundo.
Estas cifras corresponden a la actividad detectada y mitigada por Cloudflare. No representan necesariamente todos los ataques registrados en internet, ya que dependen de la infraestructura, los clientes y los sistemas de observación de la compañía.
La magnitud, aun con esa limitación, refleja la presión constante que sufren los servicios digitales y la importancia de contar con sistemas capaces de detectar y filtrar tráfico malicioso antes de que alcance los servidores de destino.
Los ataques breves aumentan un 208 % mientras caen las grandes ofensivas
El cambio más llamativo del trimestre es el crecimiento de los ataques DDoS de corta duración y bajo ancho de banda.
Este tipo de incidentes aumentó un 208 % respecto al mismo periodo del año anterior, según Cloudflare. La mayoría duró menos de diez minutos y no superó el gigabit por segundo.
Aunque estas cifras pueden parecer modestas frente a las grandes ofensivas que superan ampliamente esa capacidad, los ataques breves pueden causar problemas a servidores convencionales y servicios que no disponen de protección especializada.
La rapidez también complica la respuesta. Una ofensiva puede comenzar y terminar antes de que una empresa detecte el incidente, active sus protocolos internos y coordine una intervención técnica.
Este comportamiento obliga a las organizaciones a replantear sus estrategias de defensa. Ya no basta con prepararse únicamente para ataques masivos que puedan identificarse con facilidad por su volumen.
Los ataques de menor tamaño pueden resultar igualmente perjudiciales si alcanzan sistemas vulnerables o servicios con recursos limitados.
El desmantelamiento de grandes redes de bots cambia el panorama
Cloudflare relaciona la reducción de los ataques masivos con las operaciones policiales que afectaron a importantes redes de dispositivos comprometidos.
Entre las infraestructuras citadas figuran Aisuru, KimWolf, JackSkid y Mossad, redes que habían contribuido a generar grandes volúmenes de tráfico malicioso.
Una botnet es una red de dispositivos infectados o comprometidos que pueden ser controlados de forma remota por un operador. Estos equipos pueden utilizarse para lanzar ataques coordinados contra páginas web, empresas o servicios digitales.
El desmantelamiento de estas redes reduce la capacidad de los delincuentes para organizar determinadas ofensivas de gran escala. Sin embargo, la desaparición de una infraestructura criminal no implica el fin de las amenazas DDoS.
Los operadores pueden recurrir a otras redes, desarrollar nuevas herramientas o modificar sus tácticas para continuar atacando.
La evolución observada durante el trimestre apunta precisamente a esa adaptación: menos ataques gigantescos y más operaciones breves que buscan aprovechar las limitaciones de las defensas empresariales.
El Internet de las Cosas sigue alimentando las botnets
El Internet de las Cosas (IoT) continúa siendo uno de los principales problemas de seguridad para las infraestructuras conectadas.
Muchos dispositivos, como cámaras, routers y equipos domésticos inteligentes, pueden permanecer conectados durante largos periodos. Si utilizan contraseñas débiles, software desactualizado o configuraciones inseguras, pueden convertirse en objetivos de los ciberdelincuentes.
Una vez comprometidos, estos dispositivos pueden incorporarse a una botnet y utilizarse para enviar tráfico malicioso contra otros sistemas.
Cloudflare señala la aparición de nuevas variantes de malware, entre ellas Dysphoria y Evooo1Bot, que mantienen activa la amenaza pese a las operaciones contra redes criminales anteriores.
El informe también apunta a que la histórica familia de malware Mirai alcanzó su mayor actividad de mitigación durante agosto, cuando representó cerca de la mitad de los datos bloqueados.
El ataque sostenido de mayor duración registrado en el trimestre utilizó esta familia de malware y mantuvo la presión sobre su objetivo durante casi 50 horas consecutivas.
Estos datos muestran que las botnets basadas en dispositivos conectados continúan siendo una herramienta relevante para las operaciones DDoS, incluso cuando desaparecen algunas de las redes más conocidas.
DNS y UDP ganan protagonismo frente a otras técnicas
El informe también detecta cambios en los métodos utilizados para generar tráfico malicioso.
Uno de los descensos más pronunciados corresponde a los ataques que empleaban el protocolo ligero de acceso a directorios (LDAP), cuya actividad cayó más de un 99 % después del repunte registrado durante la primera mitad del año.
En paralelo, los atacantes han recurrido con mayor frecuencia a métodos relacionados con la amplificación del Sistema de Nombres de Dominio (DNS) y a inundaciones de paquetes del Protocolo de Datagramas de Usuario (UDP).
¿Cómo funciona un ataque de amplificación DNS?
Los ataques de amplificación DNS aprovechan determinados servidores para generar una cantidad de tráfico de respuesta superior a la solicitud inicial.
En términos generales, el atacante envía peticiones manipuladas para que las respuestas se dirijan a la infraestructura de la víctima. De esta manera, puede utilizar recursos de terceros para aumentar el volumen de tráfico que recibe el objetivo.
UDP, por su parte, es un protocolo de transporte que no establece una conexión previa como ocurre con TCP. Su sencillez puede facilitar determinadas formas de inundación de tráfico cuando los sistemas no cuentan con mecanismos adecuados de filtrado.
El objetivo de estas técnicas es agotar la capacidad de procesamiento, la conectividad o los recursos de los servidores, impidiendo que respondan correctamente a las solicitudes legítimas.
El cambio de métodos demuestra que los ciberdelincuentes no dependen de una única técnica. Cuando una infraestructura desaparece o una vía de ataque pierde eficacia, pueden buscar alternativas.
Los medios siguen entre los sectores más afectados
La industria de los medios de comunicación y la edición continúa siendo uno de los sectores más perjudicados por los ataques DDoS.
Sin embargo, su participación en el volumen global se ha reducido respecto a trimestres anteriores. La actividad se ha distribuido hacia otros sectores, entre ellos:
- Servicios de internet, que dependen de la disponibilidad continua de sus plataformas.
- Infraestructuras de computación en la nube, esenciales para alojar aplicaciones y servicios empresariales.
- Servicios de atención al consumidor, cuya interrupción puede afectar directamente a clientes y operaciones comerciales.
- Empresas de software y tecnologías de la información.
- Plataformas de juegos de azar y servicios digitales relacionados.
La diversificación amplía el número de organizaciones que pueden verse afectadas.
Una empresa no necesita ser una gran multinacional para convertirse en objetivo. Las plataformas de comercio electrónico, los proveedores de servicios y las pequeñas compañías que dependen de una web para operar también pueden sufrir pérdidas si sus sistemas quedan inaccesibles.
Para muchas organizaciones, incluso una interrupción de pocos minutos puede provocar problemas de atención al cliente, pérdida de ventas o daños reputacionales.
Estados Unidos vuelve a encabezar la lista de países más atacados
El informe también registra cambios en la distribución geográfica de los ataques.
Estados Unidos recuperó la primera posición como país más amenazado, desplazando a China al segundo lugar. Indonesia ocupa la tercera posición, según los datos citados por Digital Inside.
La clasificación refleja el volumen de actividad observado por Cloudflare y no debe interpretarse como una medida absoluta del riesgo cibernético de cada país.
También destacan los aumentos registrados en Canadá e Israel, que experimentaron picos de actividad hostil durante el trimestre.
Cloudflare relaciona estos repuntes con tensiones geopolíticas y disputas comerciales. No obstante, esa asociación debe entenderse como una interpretación del contexto y no como una atribución definitiva de cada ataque a un conflicto concreto.
Las operaciones DDoS pueden responder a motivaciones muy diferentes: extorsión, competencia empresarial, activismo digital o acciones vinculadas a conflictos políticos y geopolíticos.
La dificultad para identificar a los responsables y determinar sus motivaciones convierte estos incidentes en un problema que trasciende la mera defensa técnica.
Qué pueden hacer las empresas para protegerse
El crecimiento de los ataques breves demuestra que las organizaciones necesitan sistemas de protección capaces de reaccionar rápidamente.
Entre las medidas que pueden ayudar a reducir el riesgo destacan:
- Utilizar servicios de mitigación DDoS capaces de filtrar tráfico malicioso antes de que llegue a los servidores.
- Mantener actualizados los sistemas operativos, aplicaciones y dispositivos conectados.
- Revisar la configuración de routers, cámaras y otros equipos IoT.
- Evitar contraseñas predeterminadas o reutilizadas.
- Supervisar el tráfico de red para detectar patrones anómalos.
- Preparar protocolos de respuesta ante interrupciones del servicio.
- Comprobar que los servicios críticos cuentan con capacidad suficiente y mecanismos de redundancia.
La protección no debe depender únicamente de reaccionar cuando el ataque ya está en marcha. La prevención, la supervisión continua y la capacidad de recuperación resultan esenciales para mantener la disponibilidad de los servicios.
En el caso de las empresas que dependen de plataformas digitales, también conviene establecer planes de continuidad que permitan seguir atendiendo a los clientes cuando una web o aplicación deja de funcionar.
Los ciberdelincuentes cambian de estrategia, pero la amenaza continúa
El tercer trimestre de 2026 muestra una evolución significativa en el panorama de los ataques DDoS. Cloudflare detectó un aumento del 208 % en las ofensivas breves, mientras que los ataques masivos descendieron tras las operaciones contra grandes botnets.
La aparición de nuevas variantes de malware, el uso de dispositivos IoT comprometidos y el crecimiento de los métodos de amplificación DNS y UDP reflejan la capacidad de adaptación de los ciberdelincuentes.
El cambio también amplía el abanico de sectores afectados. Los medios de comunicación continúan entre los objetivos, pero los servicios de internet, la nube, el software y las plataformas digitales reciben una presión cada vez más diversificada.
La caída de las grandes redes criminales no ha eliminado el problema: ha obligado a los atacantes a buscar nuevas formas de mantener la presión sobre las empresas.
Para las organizaciones, la lección es clara: la defensa frente a los ataques DDoS debe contemplar tanto las grandes ofensivas como los incidentes rápidos y de menor volumen, capaces de interrumpir servicios antes de que los responsables puedan reaccionar.
Toqueteo
Toqueteo
Toqueteo