Cloudflare ha publicado su 26º Informe de Amenazas DDoS, que abarca el tercer trimestre de 2026 y revela un cambio distintivo en los patrones de ataque caracterizado por golpes más frecuentes y pequeños en lugar de eventos volumétricos masivos. Durante julio, agosto y septiembre, la empresa mitigó de forma autónoma 18,2 millones de ataques DDoS a nivel de red y 14,4 billones de solicitudes HTTP. Este volumen se traduce en aproximadamente 8.226 ataques a nivel de red por hora, o un ataque cada 0,44 segundos, con un tráfico total mitigado que alcanzó los 272,6 petabytes a nivel de red.
Los datos indican un aumento dramático de ataques de corta duración y bajo ancho de banda que duran menos de 10 minutos y se mantienen por debajo de 1 Gbps, los cuales aumentaron un 208% en comparación con el mismo periodo de 2025. Estos golpes rápidos, a menudo asociados con servicios de DDoS por encargo, dirigieron sus ataques principalmente contra los sectores de software informático, juegos de azar y tecnología de la información. Por el contrario, los ataques hipervolumétricos que superan los 1 Tbps cayeron casi un 69% respecto al trimestre anterior, bajando de 805 incidentes en el segundo trimestre a solo 251 en el tercer trimestre. Esta disminución coincide con las acciones de las fuerzas del orden a principios de 2026 que desmantelaron cuatro grandes botnets de IoT: Aisuru, KimWolf, JackSkid y Mossad.
A pesar de la reducción de las grandes botnets, las amenazas basadas en IoT siguen siendo duraderas a medida que surgen nuevas variantes como Dysphoria y Evooo1Bot. Los ataques clasificados como Mirai alcanzaron su punto máximo en agosto, representando el 46,5% de todos los bytes mitigados a nivel de red ese trimestre. El ataque Mirai sostenido más largo registrado durante este periodo duró casi 50 horas entre el 19 y el 21 de agosto.
Los vectores de ataque también sufrieron una transformación significativa. Las inundaciones CLDAP, que habían aumentado a principios del año, colapsaron un 99,5% en comparación con el trimestre anterior, representando solo el 0,05% de los ataques en el tercer trimestre. En su lugar, los actores de amenazas cambiaron hacia otros protocolos sin conexión, impulsando un aumento del 215% en la amplificación DNS y un incremento del 122% en las inundaciones UDP generales. Estos métodos explotan resolvers abiertos y la naturaleza del protocolo UDP para consumir los recursos del objetivo sin establecer conexiones.
Geográfica e industrialmente, el panorama se amplió significativamente. Estados Unidos recuperó la posición de ubicación más atacada a China, que cayó al segundo lugar, mientras que Indonesia ascendió al top tres. Canadá e Israel experimentaron aumentos bruscos en ataques dirigidos, saltando 10 y 7 puestos respectivamente. Estos picos en Canadá se vincularon con ataques contra los sectores minorista y de telecomunicaciones en medio de disputas comerciales, mientras que el aumento en Israel ocurrió durante un periodo de tensión geopolítica y eventos nacionales previas a las elecciones parlamentarias.
En cuanto a los objetivos industriales, Medios, Producción y Publicación permaneció como el sector más atacado, pero vio caer su participación a aproximadamente una cuarta parte de su nivel del segundo trimestre. El foco se desplazó hacia una gama más amplia de industrias, con la infraestructura de Internet ascendiendo al sexto lugar, mientras que los Servicios al Consumidor y el Entretenimiento para Adultos entraron en el top diez. Cloudflare señaló que su red global, que abarca más de 330 ciudades con una capacidad de 500 Tbps, está diseñada para manejar esta mitigación autónoma, ya que la mayoría de los ataques concluyen antes de que los analistas humanos puedan intervenir.
Fuentes: Cloudflare Blog.