DDoS: los ataques contra Internet crecen en cantidad, velocidad y escala

La tendencia ya se había acelerado durante 2025 y plantea un desafío creciente para medios, empresas y servicios digitales que dependen de estar disponibles permanentemente.

Los ataques de denegación de servicio distribuido, conocidos como DDoS, dejaron hace tiempo de ser una amenaza reservada para grandes compañías o infraestructuras críticas. Los datos publicados por Cloudflare muestran que se están convirtiendo en una característica permanente del ecosistema de Internet: cada vez hay más ataques, son más automatizados y algunos alcanzan dimensiones que hasta hace pocos años parecían extraordinarias.

El primer semestre de 2026 confirma esa tendencia.

Según el último DDoS Threat Report de Cloudflare, durante los primeros seis meses del año la compañía mitigó 23,2 millones de ataques DDoS contra la capa de red. Eso equivale a unos 128.000 ataques diarios, o más de 5.300 por hora.

Pero la cantidad de ataques es solamente una parte de la historia. Uno de los cambios más importantes está ocurriendo en la escala.

Durante el primer semestre de 2026, Cloudflare registró 935 ataques de capa de red que superaron 1 Tbps. Además, la cantidad de ataques hipervolumétricos creció fuertemente durante el segundo trimestre: los ataques superiores a determinados umbrales de tráfico aumentaron más de seis veces respecto del trimestre anterior.

En otras palabras, no solamente hay más ataques. También existen capacidades cada vez mayores para generar enormes cantidades de tráfico contra un objetivo.

El fenómeno comenzó a acelerarse en 2025

Para entender la magnitud del cambio es necesario retroceder un año.

Durante todo 2024, Cloudflare había mitigado 21,3 millones de ataques DDoS. Sin embargo, solamente durante el primer trimestre de 2025 bloqueó 20,5 millones: prácticamente la misma cantidad que durante todo el año anterior. El incremento interanual fue del 358%.

El segundo trimestre de 2025 registró 7,3 millones de ataques adicionales. Así, cuando apenas había transcurrido la mitad del año, Cloudflare ya había mitigado 27,8 millones de ataques, equivalentes al 130% de todo lo registrado durante 2024.

La tendencia continuó durante los siguientes meses. Para finales de 2025, Cloudflare contabilizó 47,1 millones de ataques DDoS, más del doble que el año anterior y un crecimiento del 236% respecto de 2023. La compañía calculó que durante ese año mitigó un promedio de 5.376 ataques por hora.

El dato permite dimensionar el cambio: lo que antes podía ser considerado un incidente extraordinario pasó a convertirse en una actividad constante sobre la infraestructura de Internet.

El tamaño de los ataques también está cambiando

La evolución más preocupante no está necesariamente en el ataque promedio, sino en la aparición cada vez más frecuente de ataques hipervolumétricos.

En 2025, Cloudflare observó un crecimiento continuo de este tipo de ataques. Durante el cuarto trimestre, aumentaron otro 40% respecto del trimestre anterior y el tamaño de los ataques más grandes había crecido más de 700% respecto de los grandes ataques observados a finales de 2024.

Uno de ellos alcanzó 31,4 Tbps y duró apenas 35 segundos.

El caso resulta particularmente significativo porque demuestra que un ataque no necesita mantenerse durante horas para provocar un problema. Una infraestructura puede recibir una cantidad extraordinaria de tráfico durante un período extremadamente breve y, si las defensas no reaccionan automáticamente, el impacto puede producirse antes de que un operador tenga tiempo de intervenir.

A finales de 2025 apareció además otro ejemplo de esta nueva escala. La botnet Aisuru-Kimwolf, compuesta principalmente por dispositivos Android TV infectados, lanzó ataques HTTP superiores a 20 millones de solicitudes por segundo. Durante esa campaña, Cloudflare registró picos de hasta 205 millones de solicitudes por segundo y ataques de hasta 24 Tbps.

El primer semestre de 2026 muestra que ese fenómeno no fue un episodio aislado.

El problema no es solamente el volumen

Existe una paradoja importante en las estadísticas DDoS.

La mayoría de los ataques individuales no son gigantescos. Muchos son relativamente pequeños y breves. El problema es que los sistemas automatizados pueden generar enormes cantidades de estos eventos y cambiar rápidamente de técnica, origen o objetivo.

Eso modifica completamente la naturaleza de la defensa.

Un administrador que recibe un ataque que dura varios minutos puede intentar identificar el patrón, bloquear determinadas direcciones IP y ajustar reglas. Pero cuando los ataques aparecen, cambian y desaparecen en segundos, la intervención humana deja de ser una respuesta suficientemente rápida.

La defensa pasa entonces de ser una cuestión de reacción a convertirse en una cuestión de automatización.

Cloudflare describe precisamente esta transformación en sus informes: sus sistemas detectan y mitigan automáticamente grandes campañas que, en algunos casos, ni siquiera son identificadas inicialmente como una campaña coordinada por los operadores humanos.

Una infraestructura distribuida para atacar Internet

Otra característica de los DDoS modernos es que el tráfico malicioso no necesariamente procede de un único lugar.

Las redes de bots pueden utilizar miles de dispositivos comprometidos y diferentes redes para generar tráfico simultáneamente. En 2025, Cloudflare identificó entre los principales orígenes de ataques tanto proveedores de telecomunicaciones como grandes plataformas de computación en la nube.

Medios CMS: El motor infinito para nichos de alta rentabilidad

Esto introduce otra dificultad: parte del tráfico puede provenir de infraestructura legítima.

El atacante puede aprovechar servidores virtuales, dispositivos IoT comprometidos, routers, cámaras, televisores conectados y otros dispositivos para construir una capacidad distribuida de generación de tráfico.

El caso Aisuru-Kimwolf es particularmente ilustrativo. Cloudflare estimó que la botnet estaba formada por entre uno y cuatro millones de dispositivos infectados, principalmente Android TV.

La infraestructura conectada a Internet se convierte así, paradójicamente, en parte de la infraestructura utilizada para atacar Internet.

Los medios digitales tampoco están al margen

Para los medios de comunicación digitales, esta evolución merece una atención particular.

Un sitio de noticias depende de una condición básica: estar disponible cuando el lector intenta acceder. La interrupción del servicio no solamente significa perder algunas visitas; puede producir pérdida de publicidad, suscripciones, confianza y posicionamiento, además de afectar la distribución de contenidos en redes sociales y buscadores.

Y el tamaño del medio no necesariamente determina su atractivo como objetivo.

Los ataques DDoS pueden responder a motivaciones económicas, competitivas, ideológicas o políticas. Un medio puede convertirse en objetivo por una investigación, una publicación polémica, una cobertura electoral, un conflicto local o simplemente por formar parte de una infraestructura compartida.

La propia evolución observada por Cloudflare muestra que los sectores vinculados con infraestructura, telecomunicaciones, servicios digitales y contenidos se encuentran entre los objetivos relevantes de las campañas más volumétricas.

Por eso, para un medio digital, la disponibilidad ya no debería considerarse solamente un problema del proveedor de hosting.

Es parte de la infraestructura editorial.

De la defensa manual a la defensa automática

La conclusión más importante que dejan los datos de 2025 y 2026 no es que Internet esté indefenso frente a los DDoS. De hecho, la capacidad de mitigación también evolucionó considerablemente.

El punto es otro: la escala y velocidad de los ataques hacen cada vez menos viable una estrategia basada exclusivamente en intervención humana.

Un ataque de 200 millones de solicitudes por segundo no puede ser analizado manualmente mientras está ocurriendo. Una campaña que cambia de vector constantemente requiere sistemas capaces de reconocer patrones, comparar tráfico y aplicar reglas en tiempo real.

Por eso, la arquitectura de protección se vuelve tan importante como la capacidad del servidor.

Un sitio que simplemente aumenta la capacidad de su servidor puede resistir más tráfico legítimo, pero eso no necesariamente resuelve un ataque distribuido de gran escala. La defensa debe ubicarse antes de que el tráfico llegue a la infraestructura que se pretende proteger.

¿Y cómo está preparado Medios CMS?

La pregunta que surge naturalmente después de conocer esta evolución es qué ocurre con los sitios construidos sobre Medios CMS cuando aparece uno de estos ataques.

La respuesta está en una decisión de arquitectura: Medios CMS utiliza la infraestructura de Cloudflare como primera línea de defensa.

Esto significa que las solicitudes no llegan directamente al servidor que ejecuta el sitio. Antes pasan por la red de Cloudflare, donde pueden ser analizadas, filtradas y clasificadas antes de alcanzar la infraestructura de origen.

Pero la protección no se limita a mostrar un CAPTCHA cuando algo parece sospechoso.

Medios CMS combina diferentes mecanismos de seguridad: reglas de borde, caché, filtrado de tráfico y las capacidades de detección de bots y amenazas de Cloudflare. La idea es que una parte importante del tráfico pueda ser resuelta o descartada en el borde de la red, sin consumir recursos del servidor que sostiene el sitio.

El CAPTCHA, por lo tanto, es solamente una de las herramientas disponibles. Cloudflare permite combinar mecanismos de detección de bots con reglas del WAF y reglas personalizadas para bloquear, limitar o desafiar determinados tipos de tráfico.

La regla es simple: primero demostrar que el tráfico tiene sentido

En Medios CMS buscamos que el acceso normal sea transparente para el lector, pero que el tráfico automatizado no identificado no tenga el mismo tratamiento que una persona navegando normalmente.

La infraestructura distingue entre un navegador utilizado por una persona, automatizaciones legítimas y tráfico automatizado que presenta características sospechosas.

Esto es especialmente importante en un ecosistema donde no todos los bots son necesariamente malos. Un buscador necesita recorrer una página. Un lector RSS necesita consultar contenidos. Una plataforma puede necesitar generar una vista previa. Un servicio de monitoreo puede verificar que un sitio esté disponible.

Por eso no se trata simplemente de “bloquear bots”.

Cloudflare mantiene mecanismos para identificar bots verificados y distinguirlos del tráfico automatizado que no puede demostrar quién es o qué función cumple. Incluso ha incorporado mecanismos criptográficos para verificar la identidad de determinados bots directamente en el borde de su red.

En Medios CMS, el principio es entonces bastante concreto: queremos que llegue el tráfico de una persona, el de un navegador humano y el de los bots legítimos que se identifican como tales. El resto debe superar los mecanismos de seguridad correspondientes o ser descartado antes de llegar al servidor.

Esto tiene una consecuencia importante para los medios digitales.

Cuando aparece una campaña DDoS, el objetivo no es simplemente tener una infraestructura de servidores suficientemente grande para absorberla. La estrategia consiste en evitar que ese tráfico alcance un servidor en primer lugar.

La combinación de red distribuida, caché, reglas de borde y detección automatizada permite trasladar buena parte de esa batalla hacia el perímetro de la infraestructura.

Y allí está justamente la diferencia entre tener un sitio alojado en Internet y tener una arquitectura preparada para permanecer disponible cuando Internet se vuelve hostil.

La seguridad, en este contexto, no es una función adicional del CMS. Es parte de la infraestructura sobre la que funciona el medio.

El verdadero cambio

Los números de Cloudflare permiten observar una evolución que comenzó a hacerse evidente en 2025 y que continúa durante 2026.

En 2024, Cloudflare mitigó 21,3 millones de ataques DDoS durante todo el año. En 2025 fueron 47,1 millones. Y solamente en el primer semestre de 2026 ya fueron 23,2 millones.

La tendencia no es lineal ni significa que cada trimestre necesariamente vaya a superar al anterior. Existen campañas extraordinarias que pueden alterar significativamente las estadísticas. Pero el cambio estructural resulta difícil de ignorar.

Hay más dispositivos conectados.

Hay más infraestructura en la nube.

Hay más capacidad de cómputo disponible.

Hay botnets de mayor tamaño.

Y existen herramientas capaces de convertir todos esos recursos en tráfico malicioso prácticamente de manera automática.

El DDoS, en consecuencia, está dejando de ser simplemente una técnica utilizada ocasionalmente para tirar abajo un sitio web. Se está convirtiendo en una forma industrializada de interferir con servicios digitales.

Para quienes construyen medios, plataformas, comercios y servicios sobre Internet, la pregunta no es qué hacer cuando llegue un ataque.

La pregunta es si la infraestructura está preparada para responder antes de que alguien tenga tiempo siquiera de darse cuenta de que el ataque comenzó.

Fuente principal: Cloudflare, DDoS Threat Report H1 2026. Para el contexto histórico se utilizaron los informes trimestrales y anual de Cloudflare correspondientes a 2025. Informe DDoS de Cloudflare — H1 2026