Los ataques DDoS hipervolumétricos ganan potencia y velocidad mientras la geopolítica condiciona cada vez más la elección de objetivos. Cloudflare contabiliza más de 23 millones de incidentes durante el primer semestre de 2026.
La guerra ya no se libra únicamente por tierra, mar y aire. Las redes, centros de datos y servicios esenciales de Internet se han convertido en otro escenario de confrontación. Durante el primer semestre de 2026, los ciberataques masivos han alcanzado dimensiones capaces de superar un terabit por segundo (Tbps), mientras las tensiones internacionales han influido de manera creciente en la selección de los objetivos.
Los datos recopilados por Cloudflare dibujan un escenario especialmente exigente: más de 23 millones de ataques contra infraestructuras y organizaciones durante los seis primeros meses del año, con un crecimiento destacado de los ataques distribuidos de denegación de servicio (DDoS) hipervolumétricos.
La tendencia supone un desafío para empresas y administraciones. Muchos ataques duran apenas unos minutos, pero su enorme intensidad significa que una respuesta humana puede llegar demasiado tarde.
Los ciberataques DDoS rompen la barrera del terabit
Uno de los principales cambios detectados durante 2026 está relacionado con la capacidad de las ofensivas.
Los ataques DDoS pretenden saturar un servidor, aplicación o infraestructura de red mediante enormes cantidades de tráfico, hasta impedir o degradar el acceso de los usuarios legítimos.
Cuando la ofensiva supera 1 Tbps, la cantidad de tráfico enviada contra el objetivo adquiere dimensiones extraordinarias. Este tipo de ataque puede poner a prueba infraestructuras que, en circunstancias normales, funcionan con un margen considerable de capacidad.
Pero la potencia bruta constituye solamente una parte del problema.
La automatización permite lanzar ofensivas extremadamente rápidas, cambiar de objetivo y modificar vectores de ataque en cuestión de minutos. Esto reduce considerablemente el margen disponible para reaccionar.
Más de 23 millones de ataques durante el semestre
El balance atribuido a Cloudflare contabiliza más de 23 millones de incidentes durante la primera mitad de 2026.
La cifra evidencia la industrialización de los ataques de denegación de servicio.
Actualmente, lanzar determinadas ofensivas ya no requiere necesariamente disponer personalmente de una infraestructura gigantesca. Las redes de dispositivos comprometidos, los servicios criminales de ataque por encargo y determinadas técnicas de amplificación permiten multiplicar la capacidad ofensiva.
La consecuencia es preocupante: la barrera técnica para ejecutar ataques importantes puede reducirse mientras aumenta simultáneamente su potencia.
Abril registró un pico histórico de tráfico malicioso
El mes de abril destacó especialmente dentro del periodo analizado.
Durante esas semanas se contabilizaron más de seis billones de solicitudes maliciosas, según los datos recogidos en el análisis.
Después de ese máximo se produjo un descenso significativo de la actividad.
Los investigadores relacionan esa caída con una operación policial internacional coordinada entre 21 países contra infraestructuras utilizadas para contratar y ejecutar ciberataques.
La actuación habría permitido intervenir numerosos dominios y servicios utilizados por decenas de miles de usuarios.
El episodio demuestra otro elemento fundamental de la lucha contra el ciberdelito: desmantelar la infraestructura desde la que se comercializan los ataques puede tener un efecto inmediato sobre su volumen.
La geopolítica entra de lleno en la ciberguerra
Uno de los aspectos más relevantes del primer semestre ha sido la creciente relación entre conflictos internacionales y ciberataques.
Según el análisis, una operación militar internacional contra infraestructuras iraníes registrada el 28 de febrero estuvo seguida durante las siguientes 72 horas por una oleada de acciones digitales reivindicadas por distintos grupos de ciberactivistas.
Las ofensivas habrían alcanzado a más de un centenar de organizaciones repartidas entre 16 países.
La actividad contribuyó a situar al sector gubernamental entre los diez principales objetivos mundiales.
La secuencia refleja una realidad cada vez más evidente: una escalada militar o diplomática puede tener una réplica digital prácticamente inmediata.
Del campo de batalla convencional a los servidores
Este fenómeno suele asociarse al concepto de guerra híbrida.
La confrontación moderna puede combinar simultáneamente operaciones militares, presión económica, propaganda, desinformación y actividad cibernética.
En este escenario, una institución pública, un medio de comunicación o una compañía tecnológica puede convertirse en objetivo aunque se encuentre a miles de kilómetros del conflicto físico.
Además, atribuir definitivamente un ciberataque a un Estado resulta considerablemente más complicado que identificar el origen de una operación militar convencional.
Los atacantes pueden utilizar botnets, servidores comprometidos, redes privadas virtuales y dispositivos distribuidos por numerosos países, dificultando determinar quién ordenó realmente la operación.
Por ello, distinguir entre hacktivistas independientes, organizaciones criminales y actores respaldados por Estados requiere investigaciones técnicas mucho más profundas que la simple identificación de la dirección desde la que procede el tráfico.
Turquía se convierte en uno de los principales objetivos
La influencia de la política internacional volvió a observarse entre junio y principios de julio.
La preparación de una importante cumbre diplomática y militar en Ankara coincidió con un considerable incremento del tráfico hostil dirigido contra Turquía.
El país terminó situándose como el tercer territorio más atacado del mundo durante el periodo señalado.
Los grandes acontecimientos internacionales constituyen objetivos especialmente atractivos porque concentran atención mediática, actividad institucional e infraestructuras críticas durante periodos muy concretos.
Un ataque que consiga interrumpir servicios durante unas horas puede obtener una repercusión internacional muy superior a la que conseguiría en una jornada ordinaria.
Los medios de comunicación, entre los grandes objetivos
Otro dato especialmente significativo es el protagonismo de la industria de los medios de comunicación, que se mantuvo entre los sectores más castigados durante el periodo analizado.
Los medios representan un objetivo especialmente sensible durante crisis políticas, guerras o grandes acontecimientos internacionales.
Un ataque DDoS contra un periódico digital no necesita robar información para causar daño. Puede simplemente impedir que los lectores accedan a las noticias en un momento crítico.
Por eso, la protección frente a ataques de disponibilidad adquiere también una dimensión relacionada con el acceso a la información.
Los atacantes cambian de estrategia
La evolución no se limita al volumen.
Los ciberdelincuentes están modificando también los procedimientos empleados para generar tráfico y agotar los recursos de sus víctimas.
Según los datos analizados, los mecanismos de amplificación y los ataques relacionados con la infraestructura DNS han adquirido un protagonismo significativo, concentrando más de una tercera parte de determinada actividad maliciosa observada.
El DNS —Sistema de Nombres de Dominio— es una pieza fundamental de Internet: permite traducir direcciones comprensibles para una persona en las direcciones necesarias para localizar los servidores.
Atacar esa infraestructura puede afectar directamente a la capacidad de acceder a páginas web y servicios digitales.
Algunos vectores crecen más de un 500 %
Especialmente llamativo resulta el crecimiento de técnicas relacionadas con servicios de directorio corporativo expuestos a Internet, que registraron incrementos superiores al 500 % respecto al trimestre anterior.
Los mecanismos de amplificación permiten al atacante intentar generar una respuesta mucho mayor que la solicitud original.
En términos simplificados, el delincuente busca multiplicar cada unidad de tráfico ofensivo aprovechando servicios configurados de manera vulnerable o expuestos innecesariamente.
Cuando esa técnica se combina con redes distribuidas de dispositivos comprometidos, el volumen final puede alcanzar dimensiones extraordinarias.
El peligro de ataques que duran menos de diez minutos
Paradójicamente, una parte importante de las ofensivas detectadas no destaca por su duración.
La mayoría de los ataques analizados son relativamente pequeños y terminan en menos de diez minutos.
Pero eso no significa que sean irrelevantes.
Un ataque automatizado puede alcanzar su máxima intensidad prácticamente desde el comienzo. Cuando un equipo humano identifica el problema, analiza su origen y decide qué medida aplicar, la ofensiva puede haber terminado después de haber provocado la interrupción.
Ese comportamiento obliga a cambiar la estrategia defensiva.
La seguridad basada exclusivamente en la reacción manual resulta insuficiente frente a amenazas que funcionan a velocidad de máquina.
La defensa automatizada se convierte en una necesidad
Los centros de datos, administraciones y grandes compañías necesitan cada vez más mecanismos automáticos capaces de identificar patrones anómalos y filtrar tráfico malicioso en tiempo real.
La arquitectura defensiva debe asumir que los ataques pueden aparecer sin previo aviso y alcanzar una intensidad extraordinaria en segundos.
Entre las prioridades se encuentran la reducción de servicios innecesariamente expuestos a Internet, la segmentación de redes, la protección específica del DNS, la monitorización continua y la capacidad de absorción distribuida del tráfico.
La cuestión ya no consiste únicamente en evitar que un atacante entre en una red.
También hay que conseguir que Internet continúe funcionando cuando millones de solicitudes maliciosas intentan derribar simultáneamente un servicio.
Brasil aparece como principal origen del tráfico hostil
El análisis sitúa a Brasil como principal origen observado de tráfico relacionado con estas ciberamenazas, por delante de Estados Unidos, mientras China aparece como uno de los principales territorios receptores.
Esta clasificación requiere una importante precisión.
Que el tráfico malicioso proceda técnicamente de un determinado país no significa necesariamente que los responsables del ataque se encuentren allí.
Un ordenador, servidor, cámara conectada o dispositivo IoT comprometido puede formar parte de una botnet y atacar objetivos extranjeros sin conocimiento de su propietario.
Por eso, el origen geográfico del tráfico no debe confundirse automáticamente con la autoría intelectual de la ofensiva.
2026 confirma el salto de escala de las ciberamenazas
Los datos del primer semestre apuntan hacia un cambio cualitativo.
Los ciberataques masivos son cada vez más rápidos, automatizados y capaces de mover cantidades extraordinarias de tráfico. Al mismo tiempo, los acontecimientos geopolíticos proporcionan nuevos motivos y objetivos a actores que pueden operar desde prácticamente cualquier punto del planeta.
La barrera del terabit por segundo simboliza esa transformación, pero la verdadera amenaza reside en la combinación de tres elementos: potencia, automatización y contexto geopolítico.
La seguridad digital deja así de ser únicamente un asunto del departamento informático. Para gobiernos, empresas, medios de comunicación y operadores esenciales, la resiliencia de la infraestructura de Internet se está convirtiendo en una cuestión estratégica y, cada vez más, de seguridad nacional.
Chollones
Chollones
Chollones