Los ataques DDoS de más de 1 Tbps se disparan: Cloudflare mitigó 805 en tres meses
Cloudflare ha detectado un salto importante en la escala de los ataques de denegación de servicio distribuido. En su informe sobre el primer semestre de 2026, la compañía afirma haber mitigado 935 ataques de capa de red que superaron 1 Tbps. El dato más llamativo está en la evolución trimestral: 130 en el primer trimestre y 805 en el segundo, un crecimiento del 519% en solo tres meses.
La tendencia importa porque un ataque de este tamaño puede saturar enlaces de red antes incluso de que el tráfico alcance el servidor. Además, DNS, reflexión y amplificación están ganando peso como vectores de ataque.
805 ataques de más de 1 Tbps en un trimestre
Según los datos recopilados por Cloudflare, durante la primera mitad de 2026 su red mitigó 23,2 millones de ataques DDoS de capa de red y procesó 29,64 billones de solicitudes HTTP identificadas como tráfico DDoS.
Los ataques gigantes siguen siendo una minoría, pero aumentan mucho más rápido que el conjunto. Los superiores a 1 Tbps pasaron de 130 en el primer trimestre a 805 en el segundo. Los situados entre 500 Gbps y 1 Tbps crecieron un 143%, y los de 100 a 500 Gbps, un 105%.
Hay una limitación importante: son datos observados dentro de la red de Cloudflare, no un censo de todos los DDoS de Internet. Aun así, su posición como CDN, proveedor DNS, reverse proxy y servicio de mitigación permite observar ataques a gran escala.
Qué significa realmente un ataque de 1 Tbps
Un terabit por segundo equivale a unos 125 GB por segundo. Si ese caudal se mantuviera durante un minuto, serían aproximadamente 7,5 TB de tráfico dirigido contra el objetivo.
Un DDoS volumétrico no necesita comprometer el servidor. Basta con llenar la capacidad de los enlaces que lo conectan a Internet. El servidor puede tener CPU y memoria disponibles y quedar inaccesible porque el router, el firewall, el hosting o el operador no pueden absorber el tráfico entrante, tal y como explica Cloudflare en su guía sobre qué es un ataque DDoS.
Por eso una defensa limitada al servidor suele ser insuficiente. Como explicamos en Tecnoic al analizar cómo funciona una CDN y por qué acelera y protege el tráfico, una red distribuida puede filtrar y absorber tráfico en el borde antes de que llegue al origen.
DNS y CLDAP ganan protagonismo
Los ataques relacionados con DNS representaron el 34,3% de la actividad DDoS de capa de red observada por Cloudflare durante el semestre. Los DNS Floods pasaron del 25,7% de los vectores en el primer trimestre al 40% en el segundo.
Un DNS Flood intenta agotar la capacidad del sistema de resolución mediante enormes cantidades de consultas. Si los servidores DNS autoritativos dejan de responder, los usuarios pueden dejar de encontrar el servicio aunque la aplicación siga funcionando. En Tecnoic ya explicamos cómo funciona el DNS y por qué es una pieza crítica de Internet.
También destaca CLDAP: sus inundaciones crecieron un 580% de un trimestre a otro hasta convertirse en el tercer vector más importante. CLDAP utiliza UDP y puede aprovecharse para reflexión. El atacante falsifica la IP de origen para que servidores expuestos respondan a la víctima; si la respuesta es mayor que la petición, además se amplifica el tráfico.
Ataques breves: reaccionar manualmente ya no basta
El tamaño récord no significa que todos los ataques sean enormes. Según el informe de Cloudflare sobre amenazas DDoS, el 96,62% de los ataques de capa de red se mantuvo por debajo de 500 Mbps y el 90,6% terminó en menos de diez minutos.
Esto tiene una consecuencia práctica: detectar una caída, avisar a un administrador y crear manualmente reglas de firewall puede ser demasiado lento. Cuando una persona empieza a reaccionar, el ataque quizá ya haya terminado o cambiado de vector.
La mitigación debe actuar automáticamente y lo suficientemente arriba en la red. Un WAF resulta útil frente a determinados ataques HTTP de capa 7, pero no puede solucionar por sí solo una inundación que sature el enlace antes de alcanzar la aplicación.
Botnets y amplificación elevan la capacidad del atacante
Las botnets continúan aportando una enorme potencia. En un informe anterior sobre amenazas DDoS, Cloudflare atribuyó a Aisuru-Kimwolf un ataque de 31,4 Tbps y estimó que este ecosistema reunía entre uno y cuatro millones de hosts comprometidos, desde dispositivos IoT y equipos de red hasta máquinas virtuales y dispositivos Android.
Pero los atacantes tampoco necesitan generar todo el ancho de banda directamente. En un ataque de reflexión y amplificación se envían pequeñas peticiones a servicios UDP expuestos utilizando como origen la IP falsificada de la víctima.
Los servidores responden a esa dirección y, cuando sus respuestas son mayores que las solicitudes, multiplican el caudal. Es precisamente el mecanismo utilizado en los ataques de amplificación DNS.
Qué deberían revisar las empresas y webs españolas
Para una empresa, tienda online o servicio público en España, la pregunta no es si su servidor soporta 1 Tbps. La cuestión es qué infraestructura existe antes de que semejante volumen llegue al origen.
Conviene disponer de mitigación DDoS en el perímetro, CDN o reverse proxy cuando tenga sentido, DNS autoritativo distribuido y un proveedor de conectividad capaz de filtrar tráfico aguas arriba. También es recomendable ocultar la IP real del origen cuando sea posible y limitar mediante firewall las conexiones directas.
En infraestructura propia hay que revisar servicios UDP expuestos, evitar resolvers DNS abiertos y no publicar CLDAP sin necesidad. Para la capa de aplicación, rate limiting, protección frente a bots y WAF complementan la defensa.
Los 805 ataques superiores a 1 Tbps observados en tres meses muestran que el DDoS hipervolumétrico está dejando de ser excepcional. La defensa ya no depende de tener un servidor potente, sino de absorber y filtrar tráfico antes de que alcance el cuello de botella.
¿Tu proveedor de hosting especifica qué protección DDoS incluye? ¿Sabes qué ocurriría con tu web ante un ataque de cientos de gigabits por segundo?