La razón por la que los ataques DDoS siguen creciendo está sentada en salones y racks de servidores por todo el mundo. El IoT de consumo — cámaras, routers, DVR, enchufes inteligentes — sale con un modelo de seguridad que es, sin rodeos, defectuoso: credenciales por defecto, firmware con agujeros conocidos, sin una vía de actualización fiable, y un diseño que prioriza la instalación fácil sobre la seguridad. El resultado es una población permanente de miles de millones de dispositivos siempre encendidos y expuestos a internet que un atacante puede reclutar en una botnet a los minutos de encontrarlos.
Cómo se recluta un dispositivo
- Escaneo de credenciales: los atacantes barren internet con herramientas como masscan o zmap buscando dispositivos que exponen Telnet o SSH, y luego prueban logins por defecto.
- Escaneo de exploits: las botnets post-Mirai usan CVEs N-day — bugs conocidos en versiones concretas de firmware — para tomar dispositivos que cambiaron su contraseña pero nunca parchearon.
- Suelta de malware: una vez dentro, se descarga un pequeño binario y el dispositivo se registra con un servidor de mando y control.
- Persistencia silenciosa: el dispositivo sigue funcionando con normalidad, así que el dueño no tiene ni idea de que ahora forma parte de un ejército de ataque.
Qué pueden hacer las botnets IoT modernas
- Ataques multivector: los descendientes de Mirai lanzan ataques SYN, ACK, UDP, HTTP flood y tunelados por GRE bajo orden.
- Escala pura: cientos de miles de bots a 100 Mbps cada uno suman decenas de terabits.
- Dispersión geográfica que hace inútil el bloqueo por origen — el tráfico viene de todas partes a la vez.
- Rotación constante: los dispositivos infectados se reinician (borrando el malware) y se reinfectan, así que la botnet cicla nodos continuamente.
El dueño también es una víctima
La persona cuya cámara está atacando a un banco no hizo nada malo más allá de enchufar un dispositivo barato. Por eso el bloqueo por IP de origen es a la vez ineficaz e injusto — las direcciones de la inundación pertenecen a personas inocentes, no al atacante.
Qué puedes hacer como dueño de un dispositivo
- Cambia las credenciales por defecto en cada dispositivo de inmediato — solo esto derrota el método de reclutamiento más antiguo y común.
- Activa las actualizaciones automáticas de firmware allí donde el dispositivo las soporte.
- Pon los dispositivos IoT en una VLAN separada sin acceso entrante directo a internet.
- Si el panel de administración de tu router es accesible desde el lado WAN, ciérralo ahora.
Qué significa para los servidores bajo ataque
Para el objetivo, la conclusión es que no puedes salir de una botnet IoT baneando direcciones — son demasiadas, son inocentes y ciclan constantemente. La defensa es conductual y aguas arriba: filtra el tráfico por cómo se comporta, no por de dónde viene. El edge de proxy inverso de Akarguard hace exactamente eso para la parte de capa de aplicación — desafíos que los clientes automatizados no pueden pasar, límites de tasa por IP y por ASN, y un origen oculto para que la botnet no tenga objetivo directo — mientras que las inundaciones volumétricas en bruto se absorben aguas arriba en la red. No identificas la botnet; haces que su tráfico falle en el momento en que intenta actuar como un ataque.