Summary

  • La caída de Yandex Search se reflejó sobre todo en rastreadores verificados; la muestra de Yandex.Cloud mezclaba aplicaciones legítimas con automatización de apariencia hostil.
  • Cloudflare observó en otros ASN rusos solicitudes con la misma huella JA4, rutas, cabeceras y agentes de usuario que las dirigidas antes a una cuenta concreta. Eso respalda que ese flujo se trasladó, pero no identifica a quien lo operaba ni describe todo el tráfico de Internet.

Un ASN indica desde qué red llegó una solicitud. Por sí solo no explica qué hacía, quién la controlaba ni si continuó desde otro lugar. La interrupción de octubre alrededor de Yandex permite ver esa diferencia con claridad: tanto el sistema de búsqueda como la red de nube perdieron tráfico, pero sus automatismos tenían funciones distintas y dejaron rastros distintos.

Cloudflare publicó su análisis el 14 de octubre a partir de Radar y Bot Management, es decir, de datos de su propia red. Según la compañía, el 11 de octubre el tráfico quedó un 99% por debajo de su referencia en Yandex Search (AS13238) y un 90% abajo en Yandex.Cloud (AS200350). El día 13 ambos seguían entre 86% y 90% por debajo de lo normal; a las 18:00 UTC del 14 de octubre, Cloudflare situó el tráfico en 85% del nivel habitual. Son mediciones de un proveedor, no un censo de Internet en Rusia.

También hay que atribuir con cuidado el hecho que precedió a la caída. Yandex describió públicamente daños e interrupciones de servicio en sus instalaciones de Sasovo, Kaluga y Vladímir; Cloudflare fechó los ataques reportados entre el 7 y el 11 de octubre. El daño físico ayuda a explicar la pérdida de capacidad de dos redes. No identifica a los responsables de cada solicitud que antes pasaba por ellas, ni demuestra que Yandex operase el tráfico detectado después en otros proveedores.

AS13238 ofrece el cuadro más sencillo. Cloudflare clasificó como automatizadas el 99,5% de las solicitudes que observó desde ese ASN, y como verificadas el 93,6% de esas solicitudes de bots. La muestra incluía YandexBot, YandexRenderResourcesBot y YandexImages, coherentes con indexar y representar páginas. Según Cloudflare, alrededor del 90% del tráfico anterior a la interrupción desde ese ASN hacia sitios de noticias era YandexBot indexando artículos. Al desaparecer esa ruta, bajaron el rastreo y la capacidad de descubrimiento en Yandex Search. En este caso, «bot» describía principalmente un servicio de búsqueda, no un ataque.

La muestra de Yandex.Cloud era más diversa. Cloudflare dijo que cerca del 95% de las solicitudes puntuadas eran bots, pero que ninguna de las solicitudes de bots observadas estaba verificada por su sistema. Eso no convierte cada solicitud en maliciosa. Casi dos tercios enviaban datos a sitios web; destacaban el software y las integraciones, y una mayoría de las solicitudes del sector de software devolvía HTTP 200 antes y durante el incidente. Una red de nube aloja cargas de sus clientes: el ASN no es un veredicto sobre la conducta de cada carga.

Cloudflare sí registró descensos en categorías concretas de apariencia hostil: el tráfico de bots desde AS200350 cayó alrededor de 40%; la búsqueda de fallos en complementos de WordPress, 90%; las solicitudes identificadas como escaneo, 93%; y los bloqueos de clientes contra tráfico de Yandex.Cloud, 70%. Dentro de su ámbito, las solicitudes que llegaban desde ese ASN se interrumpieron. Eso todavía no dice si una tarea cesó.

Para investigar esa pregunta, el informe siguió las solicitudes hasta la cuenta de un cliente del sector de apuestas. Casi todas las solicitudes de bots de Yandex.Cloud de ese segmento se dirigían a esa cuenta y alternaban entre sus nombres de host. Tras la interrupción del 8 de octubre, las solicitudes desde AS200350 a esa cuenta cayeron a cero. Al mismo tiempo, Cloudflare detectó solicitudes desde otros ASN de alojamiento rusos, como Radist y Selectel, con la misma huella TLS JA4, rutas y cabeceras poco comunes y agentes de usuario personalizados.

El volumen de bots rusos dirigido a cuentas de apuestas dentro de la muestra pasó de 167,7 millones a 170,1 millones de solicitudes, un aumento del 1,4%.

Es una señal más sólida que comparar curvas nacionales: varias características coinciden en la misma frontera de cliente cuando el ASN anterior deja de aparecer. El hallazgo respalda la interpretación de Cloudflare de que esa actividad observada migró. El alcance, sin embargo, es limitado. No prueba que se trasladaran todos los bots, no identifica a un operador, no permite atribuir intención a una huella aislada ni cuenta el tráfico hacia sitios fuera de Cloudflare. JA4 aporta continuidad técnica, no una identidad humana.

La propia empresa dice que harían falta datos ajenos a su red para resolver cualquier vínculo con la manipulación en redes sociales.

Los porcentajes agregados obligan a especificar el denominador. Cloudflare afirma que las solicitudes automatizadas representaron el 39,4% de su volumen global de solicitudes HTTP entre el 1 y el 6 de octubre y el 39,5% los días 11 y 13. En las solicitudes originadas en Rusia, la proporción pasó de 50,4% a 42,2% el día 11 y a 42,1% el 13. Son porcentajes de las solicitudes observadas, no recuentos absolutos de bots ni de personas. Una cuota mundial estable puede coexistir con una caída regional, un colapso en un ASN y la migración de un flujo hacia una sola cuenta.

La lección operativa depende de mantener separadas esas preguntas. Primero: ¿se interrumpió la ruta del proveedor? Después: ¿el comportamiento preocupante cesó, cambió de destino o se alojó en otro lugar? Para responder hace falta una referencia temporal y datos vinculados a destinos y rasgos de las solicitudes, no solo el total de un ASN. La caída de un origen puede perjudicar el descubrimiento de contenido y a clientes normales de nube aunque un flujo hostil persista por otro proveedor.

La Nota 65 de Heng Lu, «Running-Code Primacy», sirve únicamente como lente editorial: juzgar un sistema por lo que hacen sus componentes desplegados y no por etiquetas que pretenden resumirlos. No es evidencia sobre Yandex, Cloudflare ni el incidente. La aplicación aquí es acotada: un gráfico por ASN ayuda a ubicar la ruta; las solicitudes permiten examinar qué circuló por ella y qué ocurrió cuando falló.

Fuentes: análisis de Cloudflare; comunicado de Yandex del 9 de octubre; comunicado a inversores de Yandex del 11 de octubre; documentación de Cloudflare sobre bots verificados; Nota 65 de Heng Lu; la vista de tráfico de Cloudflare Radar.