Un proveedor europeo de servicios de mitigación DDoS fue el objetivo de un ataque distribuido de denegación de servicio (DDoS) que alcanzó la cifra récord de 1,5 mil millones de paquetes por segundo (Bpps), según informó la firma de defensa contra interrupciones de servicio FastNetMon.
Aunque la compañía no ha revelado el nombre del cliente afectado, sí lo describe como un “DDoS scrubbing provider”, es decir, una entidad especializada en limpiar tráfico malicioso durante ataques masivos de denegación de servicio.
El ataque fue contenido gracias a las medidas de mitigación que incluían el despliegue de listas de control de acceso (ACLs) en routers de borde y la utilización de técnicas avanzadas de inspección y limitación de tráfico.
Origen del ataque: el IoT
FastNetMon detalla que la ofensiva se basó principalmente en un flood de tráfico UDP lanzado desde dispositivos comprometidos. Entre ellos se encontraban equipos IoT domésticos y routers MikroTik, aprovechados como armas en más de 11.000 redes únicas a nivel mundial.
La utilización de dispositivos de consumo no es nueva en los ataques DDoS. Desde la aparición de Mirai en 2016, los ciberdelincuentes han encontrado en el Internet de las Cosas un arsenal prácticamente inagotable: cámaras IP, routers mal configurados, grabadores de vídeo y hasta electrodomésticos conectados a internet.
Lo novedoso en este caso es la escala: un número tan elevado de nodos distribuidos que permite generar una presión sin precedentes sobre la infraestructura de la víctima.
Comparación con otros ataques recientes
Este ataque se produce apenas días después de que Cloudflare anunciara haber mitigado el mayor ataque volumétrico de la historia, que alcanzó 11,5 Tbps y 5,1 Bpps.
La diferencia radica en la métrica clave:
-
En el caso de Cloudflare, el récord estuvo en el volumen total de datos transmitidos por segundo (terabits por segundo).
-
En el caso reportado por FastNetMon, el récord lo marca la tasa de paquetes por segundo.
Ambos indicadores son críticos: un volumen alto busca saturar el ancho de banda disponible, mientras que un número masivo de paquetes intenta agotar la capacidad de procesamiento de los servidores y dispositivos de red.
La combinación de ambas tendencias dibuja un panorama preocupante para los próximos años, donde la sofisticación de los atacantes se une a una disponibilidad casi ilimitada de dispositivos vulnerables.
Cómo funciona un “scrubbing provider”
El cliente objetivo, cuya identidad no ha sido revelada, es un proveedor de servicios de scrubbing, un término que hace referencia al proceso de “limpieza” del tráfico de red.
Cuando un cliente sufre un ataque DDoS, el tráfico se redirige hacia las instalaciones del scrubbing provider, donde se aplican técnicas como:
-
Inspección de paquetes para identificar patrones maliciosos.
-
Limitación de tasa (rate limiting) para filtrar solicitudes excesivas.
-
Retos CAPTCHA o lógicos para distinguir usuarios legítimos de bots.
-
Detección de anomalías basada en comportamiento histórico del tráfico.
El hecho de que incluso estos servicios especializados puedan verse superados por ataques de esta magnitud evidencia la urgencia de reforzar las defensas a otro nivel.
La llamada a los proveedores de internet
Pavel Odintsov, fundador de FastNetMon, advierte que la clave para frenar este tipo de ofensivas está en la actuación de los proveedores de servicios de internet (ISP).
“Lo que hace que este caso sea notable es el enorme número de fuentes distribuidas y el abuso de dispositivos de red cotidianos. Sin filtrado proactivo a nivel de ISP, el hardware de consumo comprometido puede ser utilizado como arma a gran escala”, señaló.
Odintsov insiste en que la industria debe avanzar hacia mecanismos de detección y bloqueo en la propia infraestructura de los ISP, evitando que el tráfico malicioso llegue siquiera a escalar hasta las víctimas finales.
Este enfoque coincide con las recomendaciones de agencias como ENISA en Europa o CISA en Estados Unidos, que han alertado sobre la creciente profesionalización de los ataques DDoS.
