La denegación de servicio distribuida (DDoS)
Cómo miles de máquinas pirateadas saturan un servicio, qué nota el empleado en pantalla y cuáles son los reflejos de la organización.
En 30 segundos
- Dónde ocurre
- En sitios web, servicios de correo, cuentas en línea y otros servicios accesibles por Internet1.
- Qué quiere el atacante
- Dejar el servicio no disponible, por motivos políticos, para distraer la atención o para extorsionar2.
- El reflejo
- Avisar al administrador de red, que comprueba si la caída se debe a un mantenimiento o a un incidente interno, y que puede vigilar el tráfico para confirmar un ataque1.
- Si ya ha ocurrido
- El administrador puede contactar con el proveedor de acceso y aplicar reglas de cortafuegos; el resto de la red sigue necesitando vigilancia, porque a veces el ataque sirve de distracción1.
De qué se trata
Un ataque de denegación de servicio (DoS) impide que los usuarios legítimos accedan a un sitio web, a un correo electrónico, a una cuenta en línea o a otro servicio. El atacante inunda el objetivo de tráfico hasta que deja de poder responder o se cae1.
En su forma distribuida (DDoS), varias máquinas actúan juntas contra un mismo objetivo1. Para el empleado, el resultado se nota sobre todo como lentitud o como una página que ya no se abre. Estas señales pueden parecer un problema de disponibilidad sin mala intención, pero también pueden indicar un ataque DoS o DDoS1.
Preguntas directas
¿Qué es una botnet?
Es un grupo de dispositivos conectados secuestrados por un atacante, que los controla con un software de mando y control. Los dispositivos infectados también son víctimas del ataque1. Una botnet puede alquilarse a otras personas, a menudo mediante servicios «attack-for-hire» que permiten lanzar un DDoS a usuarios sin conocimientos1.
¿Por qué es más difícil de detener que un ataque desde una sola máquina?
El tráfico llega desde muchas fuentes, lo que dificulta distinguirlo del tráfico legítimo3. El DDoS también hace más difícil identificar el origen real del ataque1. En los peores casos, cada máquina envía solo una pequeña cantidad de tráfico, y distinguirlo del de los clientes legítimos resulta extremadamente difícil4.
¿Cómo saber si es un ataque o una simple avería?
Los síntomas se parecen a los de un problema corriente o de un mantenimiento. La CISA cita tres señales que pueden indicar un ataque: una red anormalmente lenta, un sitio concreto que ya no responde o la imposibilidad de abrir cualquier sitio1. La mejor forma de zanjar la duda es la vigilancia del tráfico de red1.
¿Se puede resultar afectado sin ser el objetivo?
Sí. Si el proveedor de acceso o el proveedor de nube de una red sufre un ataque, esa red también pierde su servicio1.
¿Un ataque DDoS roba datos?
Las fuentes consultadas describen una pérdida de disponibilidad. El NCSC británico señala que un sitio público no disponible puede perjudicar la actividad (ventas perdidas, empleados que ya no pueden trabajar), incluso sin efecto sobre la confidencialidad o la integridad de los datos3. La CISA señala, en cambio, que los atacantes lanzan un DDoS para desviar la atención y realizar ataques secundarios contra otros servicios de la red1.
1En la piel del atacante2 min
El atacante necesita volumen. Puede construir su propia botnet o alquilar una durante el tiempo que la utilice4. Los objetos conectados, que a menudo conservan su contraseña por defecto, son vulnerables: la infección suele pasar inadvertida a su propietario, y cientos de miles de dispositivos pueden quedar comprometidos sin que lo sepa1.
También puede ocultar o falsificar la dirección de origen de los paquetes. Esto hace que el filtrado por dirección de origen sea menos eficaz, o incluso inútil, para los defensores2.
Este artículo los agrupa en tres familias, una decisión de presentación que no reproduce una clasificación de las fuentes.
La familia volumétrica satura el ancho de banda. MITRE da el ejemplo de 10 Gbit/s de tráfico enviados a un servidor conectado a Internet mediante una conexión de 1 Gbit/s2. Una variante utiliza servidores de terceros, los reflectores: el atacante les envía paquetes con la dirección falsificada de la víctima, y las respuestas, más voluminosas que las peticiones, se dirigen hacia ella. El DNS y el NTP han permitido esas amplificaciones; el protocolo memcache ha mostrado una amplificación de hasta 51 200 veces el paquete inicial5.
La familia de protocolo aprovecha el funcionamiento de los intercambios de red. En una inundación SYN, el atacante solicita una conexión sin completar el saludo en tres pasos: el puerto sigue ocupado y, si las solicitudes continúan, se saturan todos los puertos abiertos1. MITRE recomienda activar las SYN cookies para defenderse6.
La familia de aplicación apunta a los servidores y las aplicaciones. Una inundación HTTP envía un gran número de peticiones a un servidor web para agotar sus recursos7. Un ataque de renegociación SSL/TLS abre una conexión cifrada y encadena después solicitudes de renegociación, costosas en cálculo7. Estos ataques agotan la máquina sin saturar la red6.
2Lo que ve en la pantalla1 min
Según la CISA, los síntomas pueden parecerse a problemas de disponibilidad sin mala intención, pero pueden indicar un ataque DoS o DDoS1. Esos síntomas son una lentitud inusual al abrir archivos o sitios web, un sitio concreto inaccesible, o ningún sitio accesible1. Para un cliente o un compañero, es una página de error o un servicio que no responde.
Estas señales también pueden deberse a un mantenimiento o a un incidente técnico1. Por tanto, el empleado no tiene que hacer un diagnóstico: comunica lo que observa.
3Bajo el capóEquipos de TI1 min
En el plano de la red, una inundación directa usa sobre todo protocolos sin estado como UDP o ICMP, aunque también puede usarse TCP4. Casi cualquier protocolo de red sirve4.
En el servidor, los ataques de aplicación se apoyan en cuellos de botella propios de cada capa: sistema operativo, servidor web, DNS, base de datos o aplicación6.
Para defenderse, cuando el volumen supera la capacidad de la conexión atacada, hay que filtrar el tráfico aguas arriba, en el proveedor de acceso, en una red de distribución de contenido (CDN) o en un especialista en mitigación2. Según el volumen, a veces es posible filtrar en el propio sitio: bloqueo de las direcciones de origen, de los puertos o de los protocolos atacados2.
4AutopsiasCasos reales2 min
Septiembre de 2016: Mirai contra el blog de Brian Krebs y OVH
El 20 de septiembre de 2016, el blog de seguridad de Brian Krebs sufrió un ataque masivo, uno de los mayores registrados, de más de 620 Gbit/s. Procedía de una botnet de objetos conectados controlada por el software malicioso Mirai8. Mirai recorre Internet de forma continua en busca de dispositivos vulnerables y prueba una lista corta de 62 nombres de usuario y contraseñas por defecto8. El presunto autor de Mirai afirmó que más de 380 000 dispositivos habían sido esclavizados durante el ataque contra el sitio de Krebs8.
A finales de septiembre, otro ataque de Mirai contra el proveedor de alojamiento francés OVH batió el récord: al menos 1,1 Tbit/s, quizá 1,5 Tbit/s8. Los dispositivos afectados eran sobre todo routers domésticos, cámaras de red y grabadores de vídeo digitales8. El código fuente de Mirai se publicó en línea a finales de septiembre, lo que abría la puerta a otros ataques8. A finales de noviembre de 2016, un software derivado de Mirai escaneó el puerto TCP 7547 de routers de banda ancha vulnerables8.
Para un dispositivo infectado, la CISA recomienda desconectarlo, reiniciarlo sin red (Mirai reside en la memoria RAM), sustituir la contraseña por defecto y solo después volver a conectarlo8.
Agosto de 2023: el ataque HTTP/2 «Rapid Reset»
Google describió, el 10 de octubre de 2023, un ataque DDoS HTTP/2 inédito, cuyo pico se produjo en agosto. El mayor superó los 398 millones de peticiones por segundo, muy por encima de cualquier ataque de capa 7 notificado antes9. Fue detenido en gran parte en el perímetro de la red de Google por su infraestructura de equilibrio de carga, sin caída del servicio9.
El principio: el cliente abre muchos flujos de golpe y después cancela cada petición enseguida enviando una trama RST_STREAM, sin esperar la respuesta9. Sin embargo, el servidor debe hacer un trabajo importante para las peticiones canceladas, mientras que el cliente apenas paga el coste9. Google coordinó la divulgación con socios del sector y reservó el identificador CVE-2023-44487 para seguir los parches9. Recomienda aplicar los parches lo antes posible9.
Otros casos con fecha
En 2016, APT28 llevó a cabo un DDoS contra la Agencia Mundial Antidopaje2. En 2019, Sandworm Team perturbó temporalmente sitios georgianos tras comprometer a un proveedor de alojamiento web6. Una serie de incidentes en 2012 tuvo como blanco a grandes bancos estadounidenses4.
5Lo que hace la organización1 min
La CISA indica que ningún medio evita por completo ser objetivo de un ataque. Los administradores pueden suscribirse a un servicio de protección que detecte los flujos anómalos y filtre el tráfico, y preparar un plan de recuperación ante desastres1. El NCSC británico recoge cuatro prácticas: conocer su servicio, conocer sus defensas, crear un plan de respuesta y probarlo3.
Por parte del empleado, dos gestos: comunicar pronto al administrador de red una lentitud o una indisponibilidad inusuales, y cambiar las contraseñas por defecto de los dispositivos conectados, también en casa18.
Ficha
- Identificador
- CP-066
- Ala
- 1. Ataques y técnicas
- Competencia Brain
- Entender el hacking (understand_hacking)
- Reflejo Brain
- cr-049
- Esquema
- G1 · Cadena de ataque (Kill Chain)
- Idiomas
- de, en, es, fr
- Fuentes
- 9 fuentes verificadas el 3 de noviembre de 2026
Fuentes9 fuentes
- CISA, «Understanding Denial-of-Service Attacks», 1 de febrero de 2021. https://www.cisa.gov/news-events/news/understanding-denial-service-attacks (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Network Denial of Service, Technique T1498 - Enterprise». https://attack.mitre.org/techniques/T1498/ (consultado el 3 de noviembre de 2026)
- NCSC (Royaume-Uni), «Denial of Service (DoS) guidance». https://www.ncsc.gov.uk/collection/denial-service-dos-guidance-collection (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Network Denial of Service: Direct Network Flood, Sub-technique T1498.001 - Enterprise». https://attack.mitre.org/techniques/T1498/001/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Network Denial of Service: Reflection Amplification, Sub-technique T1498.002 - Enterprise». https://attack.mitre.org/techniques/T1498/002/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Endpoint Denial of Service, Technique T1499 - Enterprise». https://attack.mitre.org/techniques/T1499/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Endpoint Denial of Service: Service Exhaustion Flood, Sub-technique T1499.002 - Enterprise». https://attack.mitre.org/techniques/T1499/002/ (consultado el 3 de noviembre de 2026)
- CISA, «Heightened DDoS Threat Posed by Mirai and Other Botnets», 14 de octubre de 2016. https://www.cisa.gov/news-events/alerts/2016/10/14/heightened-ddos-threat-posed-mirai-and-other-botnets (consultado el 3 de noviembre de 2026)
- Google, «How it works: The novel HTTP/2 ‘Rapid Reset’ DDoS attack», 10 de octubre de 2023. https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «La denegación de servicio distribuida (DDoS)», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp066_es_2026,
author = {Brain},
title = {La denegación de servicio distribuida (DDoS)},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/ataque-ddos-denegacion-de-servicio-distribuida/},
note = {CC BY 4.0}
}