En la primera mitad de 2026, la cifra de ataques DDoS a organizaciones europeas ha descendido un 42%, según revela el European Cyber Report de la firma de seguridad Link11. Sin embargo, esta reducción en la cantidad contrasta con un notable incremento en la intensidad y sofisticación de los ataques registrados.
Durante este período, la mayor tasa de ancho de banda alcanzada por un ataque DDoS fue de 2,3 terabits por segundo (Tbit/s), superando en un 85% el récord anterior de 1,2 Tbit/s establecido en la primera mitad de 2025. En paralelo, la velocidad máxima de paquetes por segundo escaló un 56%, pasando de 207 millones a 322 millones de paquetes por segundo, y el volumen total de datos acumulados en los ataques aumentó un 61%, subiendo de 438 a 705 terabytes.
Karsten Desler, director tecnológico (CTO) de Link11, explica que «los ataques son más breves, pero el volumen total que debemos mitigar es el más alto hasta ahora. Los atacantes manejan sus botnets con una precisión y control mayor, generando más tráfico en menor tiempo». 
Éxito de las operaciones policiales coordinadas
La disminución en el número de ataques DDoS se atribuye en gran medida a la presión constante ejercida por las fuerzas internacionales del orden. Un ejemplo destacado fue la desarticulación en julio de 2025 de la infraestructura usada por el grupo pro-ruso NoName057(16). Asimismo, en marzo de 2026 se intervinieron los servidores de mando y control (C&C) de cuatro importantes botnets de dispositivos IoT, que juntos gestionaban más de tres millones de dispositivos infectados.
A pesar de estas acciones, el aumento en la presencia de super-botnets como Aisuru y su sucesor Kimwolf, además del crecimiento en el uso de servidores en la nube secuestrados, ha elevado la agresividad y capacidad de ataque. Mientras que un dispositivo IoT típico cuenta con un ancho de banda de pocos megabits por segundo, los servidores comprometidos en centros de datos suelen disponer de conexiones gigabit, por lo que apenas unos miles de estas instancias pueden superar fácilmente la potencia de una botnet masiva basada en millones de dispositivos.
Jens-Philipp Jung, CEO de Link11, advierte que «la amenaza no está disminuyendo, sino que está cambiando de un enfoque masivo a uno de máxima intensidad puntual. Las organizaciones que preparan sus defensas basándose en el volumen de ataques del año pasado están subestimando la rápida escalada que puede tener un solo incidente hoy en día».
Persistencia del riesgo y ataques furtivos
El estudio también pone de manifiesto que una vez que una organización ha sido víctima de un ataque DDoS, es altamente probable que sufra otro en un corto plazo: el 56% de las víctimas experimentó un segundo ataque en los 30 días posteriores, cifra que ha aumentado respecto al 46% registrado el año anterior.
Además, Link11 señala que los ataques más peligrosos no siempre son los más evidentes. En un caso documentado, un pico de tráfico sobre dos dominios sirvió de distracción para que los atacantes ejecutaran sin ser detectados sondas de inyección SQL y cross-site scripting (XSS). Esta actividad en segundo plano solo fue identificada porque se utilizaban las mismas direcciones IP para ambos tipos de ataque.
Jag Bains, vicepresidente de ingeniería de soluciones en Link11, destaca que «los ataques más dañinos actualmente rara vez son los más estruendosos. Si la defensa se centra únicamente en monitorear ancho de banda y firmas conocidas, se corre el riesgo de pasar por alto ataques diseñados para causar graves perjuicios mientras permanecen ocultos».
