Más ataques DDoS en abril de 2026. Magnific / Rawpixel
Los delincuentes intensifican sus ataques DDoS durante la guerra de Irán y el Mundial
Cloudflare neutralizó 805 ofensivas DDoS de más de 1 Tbps durante el segundo trimestre, más de seis veces las registradas entre enero y marzo.
Más información: La ciberseguridad obtiene galones en la empresa y gana enteros en el tablero geopolítico
El pasado mes de abril, 21 países coordinaron una operación internacional contra más de 75.000 usuarios que contrataban por encargo ataques de denegación de servicio distribuido (DDoS).
La operación terminó con 53 dominios desactivados, 25 órdenes de registro y cuatro personas detenidas.
Los ataques DDoS por encargo se han convertido en una de las fórmulas más extendidas dentro del cibercrimen. Su ejecución no requiere, necesariamente, de conocimientos técnicos avanzados. Detrás, hay personas que acceden a plataformas de ataque y siguen una serie de instrucciones para lanzar ofensivas contra servidores o sitios web.
El objetivo es provocar una saturación de tráfico que impida o dificulte el acceso de los usuarios, y su alcance afecta a cualquier sector, desde entidades financieras, telecomunicaciones, servicios sanitarios o administraciones públicas. Los motivos son diversos, y van desde el beneficio económico a causas ideológicas o simple curiosidad.
En los últimos meses, estos incidentes se han convertido en un quebradero de cabeza para los responsables de ciberseguridad de todo tipo de organizaciones.
Sólo en abril de este año, Cloudflare detectó y neutralizó 6,46 billones de solicitudes DDoS y 165 petabytes (PB) de tráfico, el volumen mensual más elevado del primer semestre de 2026. Una cantidad de tráfico equivalente a los datos que procesan las principales plataformas de streaming en un solo día.
La actividad se moderó después hasta los 4,63 billones de solicitudes en junio, una cifra próxima a los 4,32 billones registrados en enero.
Más volumen, menos tiempo de reacción
El volumen de los ataques también ha cambiado. Durante el segundo trimestre, Cloudflare bloqueó 805 ataques a la capa de red que superaron 1 Tbps, más de seis veces los registrados entre enero y marzo. Una categoría que la compañía califica de "hipervolumétrica".
Sin embargo, la mayoría sigue siendo de menor magnitud. El 96,62% se mantuvo por debajo de 500 Mbps, aunque eso no significa que su impacto sea menor. Un ataque de 100 Mbps puede saturar un servidor o un sitio web y uno de 100 Gbps dejar fuera de servicio a un centro de datos.
![Departamento de ciberseguridad.](["https:\/\/s3.elespanol.com\/k\/imgp\/cms\/elespanol\/11147501.jpg?p=w:320\/h:240&h=H_4K50aD"])
El documento también hace referencia al tiempo que duran esos ataques como un elemento significativo: el 90,60% terminó en menos de diez minutos, incluso hay un gran número que sólo llegó a los 35 segundos.
En estos casos, el margen de reacción es muy pequeño. Cuando un ataque termina antes de que llegue la alerta, la mitigación manual no es una opción.
Sector público y medios de comunicación
El ámbito gubernamental protagonizó uno de los mayores movimientos del semestre, pasando del puesto 29 al 9 en la clasificación de sectores más atacados.
El cambio coincidió con la Operación Furia Épica, iniciada el 28 de febrero de 2026 por Israel y Estados Unidos contra Irán. En las 72 horas posteriores, los analistas registraron 149 ataques DDoS contra 110 organizaciones de 16 países. El 47,8% de las afectadas pertenecía al sector gubernamental,
![John Hultquist, Chief Analyst del Grupo de Inteligencia de Amenazas de Google.](["https:\/\/s3.elespanol.com\/k\/imgp\/cms\/elespanol\/11219452.jpg?p=w:320\/h:240&h=z5Y8J67u"])
El sector de los medios de comunicación, producción y edición fue, por su parte, el más atacado durante los seis primeros meses de 2026, con el 14,2% de todas las solicitudes DDoS HTTP neutralizadas por Cloudflare.
La guerra en Irán y Ucrania y la celebración del Mundial de Fútbol aparecen entre los factores que coincidieron con esta mayor actividad.
El ataque cambia de forma
Los ciberdelincuentes también están modificando las técnicas utilizadas. Los ataques basados en DNS representaron el 34,3% de las ofensivas contra la capa de red durante el primer semestre.
A esta tendencia se suma el crecimiento de los ataques CLDAP, una técnica de reflexión y amplificación que aprovecha puntos finales LDAP expuestos. Este vector creció un 580% entre el primer y el segundo trimestre, y se convirtió en el tercero más frecuente entre abril y junio.
![Los expertos avisan del problema económico que sufren las empresas con los ciberataques.](["https:\/\/s3.elespanol.com\/k\/imgp\/cms\/elespanol\/9634792.jpg?p=w:320\/h:240&h=f__A-C6T"])
Esta evolución refleja que los ataques no dependen únicamente de grandes redes de dispositivos comprometidos, también pueden aprovechar servicios expuestos y configuraciones vulnerables para multiplicar el volumen de tráfico malicioso dirigido contra un objetivo.
Para los responsables de seguridad, esto supone una dificultad adicional. No basta con aumentar la capacidad para absorber tráfico, sino que también es necesario conocer cómo están evolucionando los vectores y detectar de forma automática aquellos que puedan aprovechar nuevas superficies de exposición.
