--- id: CP-066 slug: ataque-ddos-denegacion-de-servicio-distribuida lang: es title: La denegación de servicio distribuida (DDoS) description: Cómo miles de máquinas pirateadas saturan un servicio, qué nota el empleado en pantalla y cuáles son los reflejos de la organización. canonical_url: https://startbrain.io/cyberpedia/es/articles/ataque-ddos-denegacion-de-servicio-distribuida/ markdown_url: https://startbrain.io/cyberpedia/es/articles/ataque-ddos-denegacion-de-servicio-distribuida.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «La denegación de servicio distribuida (DDoS)», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/ataque-ddos-denegacion-de-servicio-distribuida/ (CC BY 4.0) wing: 1 theme: understand_hacking reflex: cr-049 schema: G1 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/ataque-ddos-denegacion-de-servicio-distribuida/ fr: https://startbrain.io/cyberpedia/fr/articles/attaque-ddos-deni-de-service-distribue/ en: https://startbrain.io/cyberpedia/en/articles/ddos-distributed-denial-of-service/ de: https://startbrain.io/cyberpedia/de/articles/ddos-angriff-verteilte-dienstblockade/ it: https://startbrain.io/cyberpedia/it/articles/attacco-ddos-negazione-di-servizio-distribuita/ sources: - "n": 1 title: Understanding Denial-of-Service Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/understanding-denial-service-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: Network Denial of Service, Technique T1498 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1498/ accessed: "2026-11-03" - "n": 3 title: Denial of Service (DoS) guidance publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/denial-service-dos-guidance-collection accessed: "2026-11-03" - "n": 4 title: "Network Denial of Service: Direct Network Flood, Sub-technique T1498.001 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1498/001/ accessed: "2026-11-03" - "n": 5 title: "Network Denial of Service: Reflection Amplification, Sub-technique T1498.002 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1498/002/ accessed: "2026-11-03" - "n": 6 title: Endpoint Denial of Service, Technique T1499 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1499/ accessed: "2026-11-03" - "n": 7 title: "Endpoint Denial of Service: Service Exhaustion Flood, Sub-technique T1499.002 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1499/002/ accessed: "2026-11-03" - "n": 8 title: Heightened DDoS Threat Posed by Mirai and Other Botnets publisher: CISA url: https://www.cisa.gov/news-events/alerts/2016/10/14/heightened-ddos-threat-posed-mirai-and-other-botnets published: "2016-10-14" accessed: "2026-11-03" - "n": 9 title: "How it works: The novel HTTP/2 ‘Rapid Reset’ DDoS attack" publisher: Google url: https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack published: "2023-10-10" accessed: "2026-11-03" --- # La denegación de servicio distribuida (DDoS) Un ataque de denegación de servicio (DoS) impide que los usuarios legítimos accedan a un sitio web, a un correo electrónico, a una cuenta en línea o a otro servicio. El atacante inunda el objetivo de tráfico hasta que deja de poder responder o se cae [1]. En su forma distribuida (DDoS), varias máquinas actúan juntas contra un mismo objetivo [1]. Para el empleado, el resultado se nota sobre todo como lentitud o como una página que ya no se abre. Estas señales pueden parecer un problema de disponibilidad sin mala intención, pero también pueden indicar un ataque DoS o DDoS [1]. ## En 30 segundos - Dónde ocurre: en sitios web, servicios de correo, cuentas en línea y otros servicios accesibles por Internet [1]. - Qué quiere el atacante: dejar el servicio no disponible, por motivos políticos, para distraer la atención o para extorsionar [2]. - El reflejo: avisar al administrador de red, que comprueba si la caída se debe a un mantenimiento o a un incidente interno, y que puede vigilar el tráfico para confirmar un ataque [1]. - Si ya ha ocurrido: el administrador puede contactar con el proveedor de acceso y aplicar reglas de cortafuegos; el resto de la red sigue necesitando vigilancia, porque a veces el ataque sirve de distracción [1]. ## Preguntas directas ### ¿Qué es una botnet? Es un grupo de dispositivos conectados secuestrados por un atacante, que los controla con un software de mando y control. Los dispositivos infectados también son víctimas del ataque [1]. Una botnet puede alquilarse a otras personas, a menudo mediante servicios «attack-for-hire» que permiten lanzar un DDoS a usuarios sin conocimientos [1]. ### ¿Por qué es más difícil de detener que un ataque desde una sola máquina? El tráfico llega desde muchas fuentes, lo que dificulta distinguirlo del tráfico legítimo [3]. El DDoS también hace más difícil identificar el origen real del ataque [1]. En los peores casos, cada máquina envía solo una pequeña cantidad de tráfico, y distinguirlo del de los clientes legítimos resulta extremadamente difícil [4]. ### ¿Cómo saber si es un ataque o una simple avería? Los síntomas se parecen a los de un problema corriente o de un mantenimiento. La CISA cita tres señales que pueden indicar un ataque: una red anormalmente lenta, un sitio concreto que ya no responde o la imposibilidad de abrir cualquier sitio [1]. La mejor forma de zanjar la duda es la vigilancia del tráfico de red [1]. ### ¿Se puede resultar afectado sin ser el objetivo? Sí. Si el proveedor de acceso o el proveedor de nube de una red sufre un ataque, esa red también pierde su servicio [1]. ### ¿Un ataque DDoS roba datos? Las fuentes consultadas describen una pérdida de disponibilidad. El NCSC británico señala que un sitio público no disponible puede perjudicar la actividad (ventas perdidas, empleados que ya no pueden trabajar), incluso sin efecto sobre la confidencialidad o la integridad de los datos [3]. La CISA señala, en cambio, que los atacantes lanzan un DDoS para desviar la atención y realizar ataques secundarios contra otros servicios de la red [1]. ## En la piel del atacante El atacante necesita volumen. Puede construir su propia botnet o alquilar una durante el tiempo que la utilice [4]. Los objetos conectados, que a menudo conservan su contraseña por defecto, son vulnerables: la infección suele pasar inadvertida a su propietario, y cientos de miles de dispositivos pueden quedar comprometidos sin que lo sepa [1]. También puede ocultar o falsificar la dirección de origen de los paquetes. Esto hace que el filtrado por dirección de origen sea menos eficaz, o incluso inútil, para los defensores [2]. Este artículo los agrupa en tres familias, una decisión de presentación que no reproduce una clasificación de las fuentes. La familia volumétrica satura el ancho de banda. MITRE da el ejemplo de 10 Gbit/s de tráfico enviados a un servidor conectado a Internet mediante una conexión de 1 Gbit/s [2]. Una variante utiliza servidores de terceros, los reflectores: el atacante les envía paquetes con la dirección falsificada de la víctima, y las respuestas, más voluminosas que las peticiones, se dirigen hacia ella. El DNS y el NTP han permitido esas amplificaciones; el protocolo memcache ha mostrado una amplificación de hasta 51 200 veces el paquete inicial [5]. La familia de protocolo aprovecha el funcionamiento de los intercambios de red. En una inundación SYN, el atacante solicita una conexión sin completar el saludo en tres pasos: el puerto sigue ocupado y, si las solicitudes continúan, se saturan todos los puertos abiertos [1]. MITRE recomienda activar las SYN cookies para defenderse [6]. La familia de aplicación apunta a los servidores y las aplicaciones. Una inundación HTTP envía un gran número de peticiones a un servidor web para agotar sus recursos [7]. Un ataque de renegociación SSL/TLS abre una conexión cifrada y encadena después solicitudes de renegociación, costosas en cálculo [7]. Estos ataques agotan la máquina sin saturar la red [6]. ## Lo que ve en la pantalla Según la CISA, los síntomas pueden parecerse a problemas de disponibilidad sin mala intención, pero pueden indicar un ataque DoS o DDoS [1]. Esos síntomas son una lentitud inusual al abrir archivos o sitios web, un sitio concreto inaccesible, o ningún sitio accesible [1]. Para un cliente o un compañero, es una página de error o un servicio que no responde. Estas señales también pueden deberse a un mantenimiento o a un incidente técnico [1]. Por tanto, el empleado no tiene que hacer un diagnóstico: comunica lo que observa. ## Bajo el capó En el plano de la red, una inundación directa usa sobre todo protocolos sin estado como UDP o ICMP, aunque también puede usarse TCP [4]. Casi cualquier protocolo de red sirve [4]. En el servidor, los ataques de aplicación se apoyan en cuellos de botella propios de cada capa: sistema operativo, servidor web, DNS, base de datos o aplicación [6]. Para defenderse, cuando el volumen supera la capacidad de la conexión atacada, hay que filtrar el tráfico aguas arriba, en el proveedor de acceso, en una red de distribución de contenido (CDN) o en un especialista en mitigación [2]. Según el volumen, a veces es posible filtrar en el propio sitio: bloqueo de las direcciones de origen, de los puertos o de los protocolos atacados [2]. ## Autopsias ### Septiembre de 2016: Mirai contra el blog de Brian Krebs y OVH El 20 de septiembre de 2016, el blog de seguridad de Brian Krebs sufrió un ataque masivo, uno de los mayores registrados, de más de 620 Gbit/s. Procedía de una botnet de objetos conectados controlada por el software malicioso Mirai [8]. Mirai recorre Internet de forma continua en busca de dispositivos vulnerables y prueba una lista corta de 62 nombres de usuario y contraseñas por defecto [8]. El presunto autor de Mirai afirmó que más de 380 000 dispositivos habían sido esclavizados durante el ataque contra el sitio de Krebs [8]. A finales de septiembre, otro ataque de Mirai contra el proveedor de alojamiento francés OVH batió el récord: al menos 1,1 Tbit/s, quizá 1,5 Tbit/s [8]. Los dispositivos afectados eran sobre todo routers domésticos, cámaras de red y grabadores de vídeo digitales [8]. El código fuente de Mirai se publicó en línea a finales de septiembre, lo que abría la puerta a otros ataques [8]. A finales de noviembre de 2016, un software derivado de Mirai escaneó el puerto TCP 7547 de routers de banda ancha vulnerables [8]. Para un dispositivo infectado, la CISA recomienda desconectarlo, reiniciarlo sin red (Mirai reside en la memoria RAM), sustituir la contraseña por defecto y solo después volver a conectarlo [8]. ### Agosto de 2023: el ataque HTTP/2 «Rapid Reset» Google describió, el 10 de octubre de 2023, un ataque DDoS HTTP/2 inédito, cuyo pico se produjo en agosto. El mayor superó los 398 millones de peticiones por segundo, muy por encima de cualquier ataque de capa 7 notificado antes [9]. Fue detenido en gran parte en el perímetro de la red de Google por su infraestructura de equilibrio de carga, sin caída del servicio [9]. El principio: el cliente abre muchos flujos de golpe y después cancela cada petición enseguida enviando una trama RST_STREAM, sin esperar la respuesta [9]. Sin embargo, el servidor debe hacer un trabajo importante para las peticiones canceladas, mientras que el cliente apenas paga el coste [9]. Google coordinó la divulgación con socios del sector y reservó el identificador CVE-2023-44487 para seguir los parches [9]. Recomienda aplicar los parches lo antes posible [9]. ### Otros casos con fecha En 2016, APT28 llevó a cabo un DDoS contra la Agencia Mundial Antidopaje [2]. En 2019, Sandworm Team perturbó temporalmente sitios georgianos tras comprometer a un proveedor de alojamiento web [6]. Una serie de incidentes en 2012 tuvo como blanco a grandes bancos estadounidenses [4]. ## Lo que hace la organización La CISA indica que ningún medio evita por completo ser objetivo de un ataque. Los administradores pueden suscribirse a un servicio de protección que detecte los flujos anómalos y filtre el tráfico, y preparar un plan de recuperación ante desastres [1]. El NCSC británico recoge cuatro prácticas: conocer su servicio, conocer sus defensas, crear un plan de respuesta y probarlo [3]. Por parte del empleado, dos gestos: comunicar pronto al administrador de red una lentitud o una indisponibilidad inusuales, y cambiar las contraseñas por defecto de los dispositivos conectados, también en casa [1][8]. ## Fuentes 1. CISA, «Understanding Denial-of-Service Attacks», 1 de febrero de 2021. https://www.cisa.gov/news-events/news/understanding-denial-service-attacks (consultado el 3 de noviembre de 2026) 2. MITRE ATT&CK, «Network Denial of Service, Technique T1498 - Enterprise». https://attack.mitre.org/techniques/T1498/ (consultado el 3 de noviembre de 2026) 3. NCSC (Royaume-Uni), «Denial of Service (DoS) guidance». https://www.ncsc.gov.uk/collection/denial-service-dos-guidance-collection (consultado el 3 de noviembre de 2026) 4. MITRE ATT&CK, «Network Denial of Service: Direct Network Flood, Sub-technique T1498.001 - Enterprise». https://attack.mitre.org/techniques/T1498/001/ (consultado el 3 de noviembre de 2026) 5. MITRE ATT&CK, «Network Denial of Service: Reflection Amplification, Sub-technique T1498.002 - Enterprise». https://attack.mitre.org/techniques/T1498/002/ (consultado el 3 de noviembre de 2026) 6. MITRE ATT&CK, «Endpoint Denial of Service, Technique T1499 - Enterprise». https://attack.mitre.org/techniques/T1499/ (consultado el 3 de noviembre de 2026) 7. MITRE ATT&CK, «Endpoint Denial of Service: Service Exhaustion Flood, Sub-technique T1499.002 - Enterprise». https://attack.mitre.org/techniques/T1499/002/ (consultado el 3 de noviembre de 2026) 8. CISA, «Heightened DDoS Threat Posed by Mirai and Other Botnets», 14 de octubre de 2016. https://www.cisa.gov/news-events/alerts/2016/10/14/heightened-ddos-threat-posed-mirai-and-other-botnets (consultado el 3 de noviembre de 2026) 9. Google, «How it works: The novel HTTP/2 ‘Rapid Reset’ DDoS attack», 10 de octubre de 2023. https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/ataque-ddos-denegacion-de-servicio-distribuida/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.