Resumen

  • Del 21 al 27 de septiembre de 2026, APNIC registró 173 millones de eventos desde 98.958 direcciones IP de origen distintas.
  • Los seis subtotales por sensor suman 113.299 apariciones IP; al deduplicar entre sensores desaparecen 14.341 apariciones repetidas.

Un panel de seguridad puede mostrar una cifra enorme y, en la misma semana, otra bastante más útil. El honeynet de APNIC registró 173 millones de eventos desde 98.958 direcciones IP de origen distintas entre el 21 y el 27 de septiembre de 2026. El primer número cuenta actividad. El segundo, direcciones que alcanzaron los sensores. No compiten por ser el «total verdadero»: contestan preguntas distintas.

APNIC lanzó su honeynet comunitario en 2019 para dar visibilidad a la actividad dirigida a redes de Asia-Pacífico. La descripción del proyecto conecta estas observaciones con herramientas para miembros, como DASH, y con el intercambio de información de seguridad. El valor del informe está en esa cadena operativa: observar un servicio, contar la unidad adecuada, ubicar el contexto de red y decidir dónde actuar.

El dato de RDP de OpenCanary deja claro el temperamento del contador de eventos: 6.637 IP generaron 25,6 millones de intentos de conexión en una semana, unos 3.900 por IP. El recuento de direcciones muestra amplitud; los intentos, persistencia y carga. Un bot que vuelve miles de veces plantea un problema operativo distinto de miles de fuentes que aparecen una vez. APNIC explica que cuenta IP únicas porque un bot puede generar millones de líneas de registro y otro sistema conectarse una sola vez.

La tabla por sensor añade una tercera lectura. Cowrie, que imita servicios SSH y Telnet, vio 72.256 IP y 121,1 millones de eventos. OpenCanary registró 14.393 IP y 34,5 millones de eventos. Si se suman las seis cifras de IP, salen 113.299. APNIC cuenta 98.958 direcciones únicas en toda la red. La diferencia de 14.341 son apariciones sensor-IP que se eliminan cuando una misma dirección se deduplica entre sensores. Es la huella aritmética del solapamiento, no el número de direcciones distintas que se repitieron. Incluso las cuotas mostradas suman 115 %, porque una misma fuente puede aparecer en más de un sensor.

El mapa regional exige la misma precisión. APNIC dice que su distribución por región RIR refleja dónde están los dispositivos comprometidos y la infraestructura de escaneo, no la ubicación física de quienes los controlan. Para responder a incidentes y compartir inteligencia, APNIC pasa al análisis por ASN; la vista por economía puede ayudar al trabajo con CERT nacionales. El mapa sirve para orientar la remediación, no para señalar sospechosos.

Fuentes