Cloudflare: DDoS cortos suben 208% y caen los de 1 Tbps

8.226 ataques DDoS por hora: el retrato del Q3 de 2026

Cloudflare mitigó de forma autónoma 18,2 millones de ataques DDoS de capa de red y 14,4 billones de solicitudes HTTP maliciosas durante el tercer trimestre de 2026. Eso equivale a unos 8.226 ataques por hora, casi 197.400 por día: uno cada 0,44 segundos.

Para un founder, el dato relevante no es el volumen, sino el cambio de forma. El 26º informe de amenazas DDoS de la compañía, elaborado por Cloudforce One, describe un trimestre en el que los ataques se volvieron más numerosos, más cortos y más difíciles de ver a tiempo.

¿Qué cambió en los ataques DDoS durante el tercer trimestre de 2026?

La transformación más fuerte fue el crecimiento de los ataques de ráfaga corta. Las ofensivas que duran menos de 10 minutos y no superan 1 Gbps crecieron 208% interanual.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Los números internos del informe son contundentes:

El 96% de los ataques de capa de red terminó en menos de 10 minutos.
El 98% se mantuvo por debajo de 1 Gbps.
Un ataque de ese tamaño sigue siendo más que suficiente para tumbar un servidor o un sitio web sin protección.

En paralelo, los ataques hipervolumétricos —los que superan 1 Tbps— cayeron de 805 en el Q2 a 251 en el Q3, un desplome cercano al 69%. El propio informe lo vincula con la acción policial de principios de 2026 que desmanteló cuatro de las mayores botnets de IoT: Aisuru, KimWolf, JackSkid y Mossad.

Según BleepingComputer, esa operación se concretó en marzo de 2026, cuando autoridades de Estados Unidos y Europa, junto a socios privados, tumbaron la infraestructura de mando y control de esas cuatro redes y desmantelaron también la red de proxys SocksEscort.

La advertencia: el ecosistema de botnets se recicla

Que caigan los ataques gigantes no significa que el problema se resuelva. Cloudflare documenta que el ecosistema de IoT sigue generando variantes nuevas, como Dysphoria y Evooo1Bot.

Las mitigaciones clasificadas como Mirai alcanzaron su pico en agosto con 57,23 PB, equivalentes al 46,5% de todos los bytes mitigados en capa de red durante el trimestre. Hubo cuatro días —16, 19, 23 y 25 de agosto— en los que cada jornada superó los 3 petabytes. El ataque Mirai sostenido más largo del trimestre duró 49,7 horas, entre el 19 y el 21 de agosto.

La lectura práctica: la presión policial reduce la cantidad de operadores grandes, pero no la capacidad técnica acumulada. Esa capacidad se redistribuye en servicios de alquiler.

Por qué los servicios de DDoS por encargo bajaron el costo del ataque

La firma europea Link11 publicó en septiembre de 2026 su informe semestral y encontró el mismo patrón desde otro ángulo: menos ataques, pero mucho más intensos. La cantidad de ataques contra su red cayó 42%, mientras el pico de ancho de banda alcanzó 2,3 Tbit/s, un 85% más que el máximo previo de 1,2 Tbit/s registrado en el primer semestre de 2025. La tasa de paquetes llegó a 322 millones por segundo y el tráfico acumulado pasó de 438 a 705 terabytes.

Netscout, por su parte, registró más de 9,1 millones de ataques DDoS a nivel global entre enero y junio de 2026, un alza cercana al 25% interanual, según reportó Help Net Security. Los ataques que superaron 1 Tbps o 1 Gpps crecieron 1.286%.

El motor de ese crecimiento es comercial. Netscout documenta que las plataformas de DDoS por encargo ofrecen planes que van desde el acceso gratuito hasta alrededor de 20.000 dólares mensuales, con catálogos de métodos, pruebas gratis y paneles preconfigurados. En todos los servicios revisados, el formulario de lanzamiento venía seteado por defecto en un ataque de 60 segundos. Los ataques de un minuto o menos pasaron del 1,6% en el segundo semestre de 2023 al 3,1% en el primer semestre de 2026.

Traducido a lenguaje de negocio: atacar dejó de requerir conocimiento técnico. Requiere una suscripción.

Del CLDAP al UDP: cómo rotaron los vectores de ataque

El cambio de vector más brusco del trimestre fue una caída. Los ataques CLDAP —que usan consultas pequeñas con una IP falsificada para que los controladores de dominio públicos devuelvan respuestas enormes al objetivo— se derrumbaron 99,5% trimestre a trimestre, hasta representar apenas el 0,05% de los ataques. Venián de un salto de 580% en el primer semestre de 2026.

Los atacantes no desaparecieron: migraron a otros protocolos sin conexión.

La amplificación DNS subió 215% y llegó al 3,43% de los ataques de capa de red.
Los floods UDP generales pasaron del 14,06% al 31,31%.

El motivo es estructural: UDP no establece conexión, así que sirve como vehículo para volumen puro. El atacante envía paquetes a puertos aleatorios y obliga al objetivo a revisar si hay una aplicación escuchando, consumiendo red y cómputo con cada intento.

Canadá, Israel y el nuevo mapa de objetivos

Estados Unidos recuperó el primer lugar como país más atacado, con China en el segundo puesto e Indonesia entrando al top tres con 2,93% del total. La dupla EE. UU.–China intercambió posiciones respecto al primer semestre de 2026.

Los saltos más fuertes fueron de Canadá, que pasó del puesto 16 al 6 —impulsado por ataques contra retail, telecomunicaciones, proveedores de servicios y publicidad—, e Israel, que subió 7 posiciones hasta el 10 tras una actividad sostenida a mediados de septiembre.

En industrias, Media, Production & Publishing siguió siendo la más atacada, pero su participación cayó a alrededor de un cuarto del nivel del Q2. El foco se dispersó: Internet entró en el puesto 6, Consumer Services en el 8 y Adult Entertainment en el 9. Los ataques de ráfaga corta apuntaron sobre todo a software, casinos y apuestas, y tecnología de la información.

¿Qué significa esto para tu startup?

La conclusión central es incómoda: el ataque promedio ya no es el que dimensiona tu defensa. Si tu plan de infraestructura se apoya en el conteo de ataques del año pasado, estás mirando la métrica equivocada. Como resumió Jens-Philipp Jung, CEO de Link11, la amenaza no se encoge, se desplaza de amplitud hacia intensidad pico.

Cuatro acciones concretas para esta semana:

Asume que un ataque de 10 minutos ya es un incidente crítico. Con el 96% de los ataques durando menos de 10 minutos, un equipo humano no llega a reaccionar. La mitigación tiene que ser automática desde el borde: cualquier CDN o WAF moderno incluye protección DDoS sin costo adicional en planes de entrada, y esa capa absorbe la mayor parte del ruido antes de que toque tu servidor.
Ajusta límites de ritmo y timeouts en lugar de comprar ancho de banda. El 98% de los ataques no supera 1 Gbps. Un rate limiting agresivo por IP y por ruta, sumado a timeouts cortos, neutraliza mejor esas ráfagas que escalar la instancia.
No vigiles solo el volumen. Link11 documentó casos donde el pico de tráfico sirvió de cobertura para sondas de inyección SQL y XSS lanzadas en paralelo. Si tu monitoreo únicamente alerta por ancho de banda, el ataque diseñado para hacer daño real pasa desapercibido.
Mide tu exposición a proxys residenciales. Netscout advierte que buena parte del tráfico malicioso sale de direcciones residenciales, lo que vuelve inútil el bloqueo por IP. La detección tiene que apoyarse en comportamiento coordinado —mismos destinos, ritmos sincronizados, patrones de protocolo repetidos—, no en listas negras.

Si tu startup es proveedor de hosting, nube o ISP, Cloudflare mantiene un feed gratuito de amenazas de botnets para proveedores de servicios, al que ya se suscribieron más de 800 redes.

Conclusión

El Q3 de 2026 deja un mensaje claro para founders: la presión policial está funcionando contra los operadores grandes, pero el mercado de alquiler de ataques sigue bajando la barrera de entrada. El riesgo se movió de los ataques espectaculares a los cortos, baratos y frecuentes, que terminan antes de que suene cualquier alerta.

La defensa razonable no es comprar más capacidad, sino automatizar la mitigación, endurecer los límites en el borde y vigilar el comportamiento además del volumen. Cloudflare protege más del 20% de la web desde una red de 330+ ciudades con 500 Tbps de capacidad: esa escala es la razón por la que su informe sirve como referencia, pero también recuerda que el objetivo individual ya no se mide en terabits, sino en segundos de indisponibilidad.