Los ataques de denegación de servicio distribuido continúan creciendo en capacidad y frecuencia durante 2026. Los últimos datos publicados por Cloudflare muestran un fuerte incremento de los ataques DDoS hipervolumétricos, capaces de superar 1 Tbps de tráfico.
Durante el primer semestre de 2026, Cloudflare asegura haber mitigado 935 ataques DDoS de capa de red que superaron 1 Tbps, mientras que entre el primer y el segundo trimestre se produjo un incremento del 519 % en este tipo de ataques.
La cifra refleja una tendencia que preocupa especialmente a proveedores de hosting, centros de datos, operadores de red y propietarios de servicios online: los ataques capaces de generar enormes cantidades de tráfico son cada vez más frecuentes.
Más de 900 ataques superiores a 1 Tbps en seis meses
Según el informe de amenazas DDoS correspondiente al primer semestre de 2026 publicado por Cloudflare, los ataques hipervolumétricos han experimentado uno de sus mayores crecimientos recientes.
Cloudflare registró 935 ataques de capa de red superiores a 1 Tbps entre enero y junio de 2026.
El crecimiento se concentró especialmente durante el segundo trimestre.
Durante esos tres meses, la compañía mitigó 805 ataques que superaron 1 Tbps, una cifra más de seis veces superior a la registrada durante el trimestre anterior.
Cloudflare clasifica como hipervolumétricos aquellos ataques capaces de superar umbrales extremadamente elevados de ancho de banda, paquetes por segundo o solicitudes por segundo.
Estas cifras proceden de la propia red de Cloudflare y, por tanto, no representan necesariamente todos los ataques DDoS que se producen globalmente. Sin embargo, ofrecen una referencia importante sobre la evolución de este tipo de amenazas.
¿Qué significa un ataque DDoS de 1 Tbps?
Un ataque DDoS intenta saturar un servidor, aplicación o infraestructura enviándole una cantidad enorme de tráfico desde múltiples sistemas simultáneamente.
Cuando hablamos de ataques superiores a 1 Tbps, ya no estamos ante el tipo de tráfico que normalmente puede absorber un único servidor o una conexión convencional.
Un ataque de este tamaño puede afectar no solamente al servidor que está siendo atacado, sino también a otros elementos de la infraestructura:
- Routers.
- Switches.
- Firewalls.
- Enlaces de tránsito.
- Sistemas de mitigación.
- Redes completas de un proveedor.
Por esta razón, la protección contra ataques DDoS volumétricos no puede realizarse únicamente instalando un firewall dentro del propio servidor.
Si el ataque consigue saturar la conexión de red antes de alcanzar el servidor, bloquear los paquetes localmente ya no será suficiente.
Los ataques DNS ganan protagonismo
Otro de los datos destacados del informe está relacionado con los ataques basados en DNS.
Durante el primer semestre de 2026, este tipo de ataques representó aproximadamente el 34,3 % de la actividad DDoS de capa de red observada por Cloudflare.
Los ataques DNS Flood aumentaron además considerablemente entre ambos trimestres.
Durante el primer trimestre representaban aproximadamente el:
25,7 %
de los ataques de capa de red.
En el segundo trimestre alcanzaron aproximadamente el:
40 %
Cloudflare también detectó un fuerte incremento de los ataques de reflexión mediante CLDAP, que aumentaron alrededor de un 580 % entre trimestres y llegaron a convertirse en uno de los principales vectores observados durante el segundo trimestre.
¿Cómo funcionan los ataques de reflexión y amplificación?
Los ataques de reflexión y amplificación intentan aprovechar servidores o servicios accesibles desde Internet para multiplicar el tráfico dirigido hacia una víctima.
El atacante envía solicitudes manipuladas haciendo que determinados sistemas respondan hacia la dirección IP que quiere atacar.
Si la respuesta generada es considerablemente mayor que la solicitud inicial, el atacante consigue amplificar el volumen de tráfico utilizando infraestructura de terceros.
Protocolos como DNS han sido utilizados históricamente para realizar este tipo de ataques.
El resultado puede ser una enorme cantidad de tráfico llegando simultáneamente hacia la infraestructura de la víctima.
Millones de ataques durante el primer semestre
El incremento no se limita únicamente a los ataques superiores a 1 Tbps.
Según Cloudflare, durante la primera mitad de 2026 su infraestructura mitigó aproximadamente 23,2 millones de ataques DDoS de capa de red.
La compañía calcula que esto equivale a aproximadamente:
5.343 ataques DDoS de capa de red cada hora.
O alrededor de:
128.000 ataques diarios.
Además, Cloudflare procesó durante ese mismo periodo aproximadamente 29,64 billones de solicitudes HTTP relacionadas con ataques DDoS.
Estas cifras muestran la enorme escala que ha alcanzado la automatización de los ataques contra servicios conectados a Internet.
La mayoría de los ataques siguen siendo pequeños y rápidos
Aunque los grandes ataques llaman mucho más la atención, existe otro dato especialmente interesante.
La mayoría de los ataques detectados no alcanzan capacidades cercanas a 1 Tbps.
Cloudflare indica que aproximadamente el 96,62 % de los ataques de capa de red observados durante el primer semestre se mantuvieron por debajo de 500 Mbps.
Además, aproximadamente el 90,60 % terminaron antes de alcanzar los diez minutos de duración.
Esto demuestra que un ataque DDoS no necesita mantenerse durante horas para causar problemas.
Un ataque relativamente corto puede provocar:
- Pérdida de conectividad.
- Timeouts.
- Desconexiones de usuarios.
- Saturación de conexiones.
- Reinicios de servicios.
- Problemas de enrutamiento.
- Degradación de aplicaciones.
- Interrupciones temporales del servicio.
En determinados entornos incluso ataques bastante menores que 1 Tbps pueden ser suficientes para saturar completamente la conexión disponible.
Los ataques automáticos dificultan una reacción manual
La corta duración de muchos ataques plantea además otro problema.
Cuando un administrador recibe una alerta, accede al servidor, identifica el tráfico y comienza a aplicar reglas manualmente, el ataque podría haber terminado o haber cambiado completamente de vector.
Esto hace que las estrategias exclusivamente reactivas sean cada vez menos eficaces.
La mitigación moderna de ataques DDoS depende en gran medida de sistemas capaces de:
- Detectar anomalías automáticamente.
- Analizar el tráfico.
- Identificar el vector del ataque.
- Filtrar los paquetes maliciosos.
- Mantener el tráfico legítimo.
- Aplicar la mitigación en segundos.
En ataques extremadamente grandes, la capacidad disponible en la red del proveedor también juega un papel fundamental.
¿Por qué están aumentando los ataques DDoS?
No existe una única explicación.
Las botnets continúan evolucionando y cada vez existen más dispositivos conectados permanentemente a Internet.
Además, los atacantes pueden aprovechar servidores mal configurados para realizar ataques de reflexión y amplificación.
Entre los factores que facilitan este tipo de actividad podemos encontrar:
- Botnets formadas por dispositivos comprometidos.
- Servidores expuestos incorrectamente.
- Servicios susceptibles de amplificación.
- Automatización de herramientas de ataque.
- Servicios DDoS-for-hire.
- Conflictos entre comunidades online.
- Extorsión.
- Competencia entre servicios.
- Hacktivismo.
- Conflictos geopolíticos.
Cloudflare también señala en su informe que determinados acontecimientos internacionales y tensiones geopolíticas pueden influir en la distribución y objetivos de los ataques.
Los servidores de juegos también son un objetivo habitual
Los ataques DDoS no afectan únicamente a grandes empresas.
Los servidores de juegos son especialmente atractivos para determinados atacantes debido a su necesidad de mantener conexiones constantes y una latencia reducida.
Juegos y plataformas que utilizan gran cantidad de tráfico UDP pueden experimentar rápidamente problemas como:
- Jugadores desconectados.
- Aumento de latencia.
- Packet loss.
- Timeouts.
- Servidores inaccesibles.
- Saturación del puerto de red.
En estos casos resulta especialmente importante diferenciar entre capacidad de mitigación y simplemente disponer de un firewall.
Un firewall puede bloquear determinados paquetes, pero si el enlace de red ya ha sido saturado, el servidor puede continuar siendo inaccesible aunque los paquetes maliciosos sean descartados posteriormente.
Un firewall no sustituye una protección Anti-DDoS
Herramientas como:
iptables
nftables
UFW
firewalldson fundamentales para proteger un servidor y controlar qué tráfico puede acceder a él.
Sin embargo, no deben confundirse con una infraestructura Anti-DDoS.
Las reglas locales pueden resultar muy útiles para bloquear:
- Puertos innecesarios.
- Determinados protocolos.
- Patrones de tráfico.
- Direcciones IP.
- Solicitudes maliciosas.
- Escaneos.
- Abusos contra aplicaciones.
Pero un ataque volumétrico puede saturar la conexión antes de que el servidor tenga oportunidad de procesar esos paquetes.
La protección contra ataques de gran capacidad requiere normalmente que el tráfico sea filtrado antes de llegar hasta el enlace del servidor atacado.
La importancia de la protección automática
Los datos del primer semestre de 2026 muestran que ya no es suficiente diseñar la protección pensando únicamente en ataques prolongados.
Un ataque puede comenzar, alcanzar una enorme capacidad y terminar en cuestión de minutos.
Por eso las infraestructuras modernas utilizan mecanismos de detección y mitigación automática capaces de reaccionar sin esperar la intervención de un administrador.
También es importante disponer de suficiente capacidad de red para absorber picos mientras se identifica y filtra el tráfico.
Una buena estrategia de protección puede combinar diferentes capas:
- Filtrado en red.
- Mitigación Anti-DDoS.
- Firewalls.
- Rate limiting.
- Filtrado por protocolo.
- Protección de aplicaciones.
- WAF para servicios HTTP/HTTPS.
- Monitorización de tráfico.
- Sistemas de detección automática.
No todas las amenazas deben mitigarse de la misma manera.
Un ataque UDP volumétrico, por ejemplo, presenta características muy distintas de un ataque HTTP dirigido contra una aplicación web.
¿Qué pueden hacer los administradores de servidores?
Aunque parte de la protección depende del proveedor de infraestructura, existen medidas que podemos aplicar dentro de nuestros propios servidores.
Entre ellas:
Mantener únicamente los puertos necesarios
No debemos exponer servicios que no necesiten conexiones externas.
Podemos comprobar los puertos abiertos mediante:
sudo ss -tulpnMantener el sistema actualizado
En Ubuntu y Debian:
sudo apt update
sudo apt upgradeConfigurar correctamente el firewall
Debemos permitir únicamente el tráfico necesario para nuestros servicios.
Monitorizar el tráfico
Herramientas como:
tcpdump
iftop
nload
vnstatpueden ayudarnos a identificar cambios repentinos en el comportamiento de nuestra red.
Utilizar protección específica para aplicaciones web
Cuando publicamos sitios web o APIs también podemos incorporar:
- Rate limiting.
- Reverse proxies.
- WAF.
- Protección contra bots.
- Limitación de solicitudes.
Los ataques DDoS siguen evolucionando
Los ataques distribuidos de denegación de servicio llevan décadas existiendo, pero su capacidad continúa aumentando.
La combinación de botnets, automatización, amplificación y una enorme cantidad de dispositivos conectados permite generar volúmenes de tráfico que hace unos años eran mucho menos habituales.
Los 935 ataques superiores a 1 Tbps observados por Cloudflare durante solamente seis meses muestran que los ataques hipervolumétricos están dejando de ser acontecimientos extremadamente aislados.
Al mismo tiempo, no debemos olvidar los ataques más pequeños.
Un ataque no necesita alcanzar cifras récord para provocar una caída.
La capacidad necesaria para dejar un servicio fuera de línea dependerá de la infraestructura que exista detrás.
Conclusión
Los datos publicados para el primer semestre de 2026 muestran un importante crecimiento de los ataques DDoS hipervolumétricos.
Cloudflare mitigó 935 ataques de capa de red superiores a 1 Tbps, registrando un incremento del 519 % entre el primer y el segundo trimestre.
Durante el segundo trimestre se concentraron 805 de estos ataques, mostrando una aceleración especialmente significativa.
Al mismo tiempo, los ataques relacionados con DNS y técnicas de reflexión y amplificación están adquiriendo mayor protagonismo.
Para empresas, proveedores de hosting, propietarios de VPS y administradores de servidores, estos datos refuerzan la importancia de disponer de mecanismos de protección capaces de detectar y mitigar ataques automáticamente.
La seguridad de un servidor ya no depende únicamente de proteger el sistema operativo.
También depende de proteger la red que existe delante de él.
Fuente principal: Cloudflare / Cloudforce One — DDoS Threat Report H1 2026.
