Estudiar los ataques DDoS que baten récords sirve no por las cifras del titular, sino por lo que cada uno reveló sobre una debilidad de internet. Estos son los ataques emblemáticos del registro público, en orden aproximadamente cronológico, y la lección que dejó cada uno.
2016 — Mirai y el ataque a Dyn
En octubre de 2016, la botnet Mirai — formada por cientos de miles de dispositivos IoT secuestrados como cámaras y routers — golpeó al proveedor de DNS Dyn con un ataque estimado en unos 1,2 Tbps. Como Dyn servía DNS a grandes sitios, la caída tumbó Twitter, Reddit, Netflix y otros en gran parte de EE. UU. La lección: los dispositivos IoT inseguros son un ejército permanente, y atacar infraestructura compartida (como el DNS) multiplica el daño.
2018 — El ataque de 1,35 Tbps a GitHub
En febrero de 2018, GitHub recibió 1,35 Tbps de tráfico — el mayor registrado entonces — mediante reflexión de Memcached. Los atacantes abusaron de miles de servidores Memcached mal configurados y expuestos a internet, cada uno amplificando una petición diminuta en una respuesta hasta 51.000 veces mayor. GitHub solo estuvo caído brevemente porque ya estaba tras protección DDoS. La lección: la amplificación vía servicios UDP expuestos genera avalanchas enormes, y lo que los salvó fue estar tras la mitigación antes del ataque.
2020 — El ataque de 2,3 Tbps a AWS
En febrero de 2020, AWS informó haber mitigado un ataque de 2,3 Tbps que usó reflexión CLDAP — otro vector de amplificación que abusa de servidores de directorio expuestos. Google reveló por separado haber absorbido un ataque de 2,5 Tbps años antes. La lección: el techo de los ataques volumétricos sigue subiendo, y solo proveedores con redes muy grandes pueden absorber las mayores avalanchas.
2023 — HTTP/2 Rapid Reset
A finales de 2023, una técnica nueva llamada HTTP/2 Rapid Reset produjo ataques de capa de aplicación medidos en cientos de millones de peticiones por segundo — las mayores avalanchas de capa 7 vistas hasta entonces. En lugar de ancho de banda bruto, abusaba de un fallo en cómo HTTP/2 gestiona los flujos cancelados rápidamente. La lección: la frontera se movió de los ataques volumétricos (ancho de banda) a los de capa de aplicación (tasa de peticiones), más baratos de lanzar y más difíciles de distinguir del tráfico real.
El patrón en cada récord
Casi todos los ataques récord aprovecharon algo dejado al descubierto — dispositivos IoT inseguros, reflectores UDP abiertos, un protocolo sin parchear. A los gigantes volumétricos los absorben las grandes redes; la amenaza creciente para un sitio de tamaño normal es la avalancha de capa 7, que necesita un proxy inverso capaz de inspeccionar la petición, no solo contar paquetes.
Qué significa para un sitio de tamaño normal
Es extremadamente improbable que recibas un ataque de varios terabits — esos apuntan a las mayores plataformas. Lo que realmente deja offline a los sitios pequeños y medianos es una avalancha de capa de aplicación mucho menor dirigida a un endpoint caro, o un ataque volumétrico que simplemente supera el ancho de banda de un servidor modesto. La defensa práctica es la misma que salvó a GitHub: estar tras protección antes de que ocurra. Enruta tu tráfico por un proxy inverso que filtre ataques de capa 7 y oculte tu origen, y deja las avalanchas volumétricas en bruto a tu host o proveedor de tránsito.