Resumen

  • La cifra de 1.286 % compara 1.095 ataques que rebasaron uno de dos umbrales —1 Tbps o 1 Gpps— en el primer semestre de 2026 con 79 en el primer semestre de 2025. La aritmética es correcta para ese grupo observado.
  • El recuento no demuestra que el tráfico, las víctimas, las interrupciones, el gasto en protección o los ingresos del sector hayan crecido en la misma proporción. Bitrate y paquetes por segundo describen cargas distintas, pero NETSCOUT publica un único total combinado.
  • La compañía muestra cifras diferentes para el volumen total de ataques de enero a junio de 2026: más de 9,1 millones en la página del informe, 9.146.021 en su infografía y 4.267.744 en Global Highlights. Las páginas públicas no explican la diferencia.

Lo que aumenta es un grupo definido por umbrales

El cálculo del titular es sencillo: (1.095 − 79) / 79 × 100 equivale aproximadamente al 1.286 %. El número de casos nuevos es 13,9 veces el anterior. Esa relación se refiere solo a ataques que superaron alguno de los dos límites elegidos por NETSCOUT. No significa que el conjunto de ataques DDoS se haya multiplicado por trece ni que cada operador haya visto la misma evolución.

El punto de partida también pesa. Setenta y nueve casos forman una base pequeña; unos pocos decenas más pueden cambiar mucho el porcentaje. Los 1.095 cruces de umbral son una señal relevante dentro de la telemetría de ATLAS, pero la variación porcentual no es un multiplicador de riesgo para toda la industria.

Los límites miden dimensiones diferentes. Un terabit por segundo expresa un caudal de datos; mil millones de paquetes por segundo expresa una carga de procesamiento. Un flujo de paquetes pequeños puede exigir a los equipos de red de manera distinta a un flujo que consume mucho ancho de banda. La infografía suma ambos tipos en el mismo titular y no detalla cuántos ataques superaron solo el umbral de 1 Tbps, solo el de 1 Gpps o ambos. Tampoco explica cómo cuenta un ataque que rebasa los dos límites.

Dividir el total por los 181 días del semestre da una media aproximada de 6,0 ataques por día en 2026, frente a 0,44 en 2025. Es una media de calendario, no una serie diaria. No indica si los ataques se concentraron en unas pocas fechas, si coincidieron en el tiempo o si llegaron a la red de un cliente concreto.

Un umbral alto no equivale a una caída

Un ataque puede superar uno de esos límites y ser absorbido por las defensas existentes. Otro, por debajo de ambos, puede agotar el estado de las conexiones o los recursos de una aplicación. La propia página del informe dice que un servicio puede fallar antes de saturar el enlace y que el tráfico repartido entre varios destinos puede eludir los límites por anfitrión. Es una razón para medir más que el pico de ancho de banda; no prueba que los 1.095 ataques causaran 1.095 interrupciones.

NETSCOUT también indica que las técnicas directas representaron el 64,40 % de los ataques observados y que la cuota de ataques de un minuto o menos subió del 1,6 % en el segundo semestre de 2025 al 3,1 % en el primero de 2026. Ninguna de esas cifras se desglosa para el grupo de ataques de alta capacidad. No se puede concluir que todos los eventos de los 1.095 fueran cortos o directos.

El informe recomienda que los proveedores de red mantengan capacidad de mitigación dedicada en el borde, una respuesta selectiva y margen para ataques simultáneos. También presenta la protección local y la mitigación en la nube como capas complementarias. Son opciones que los compradores pueden evaluar, pero proceden de una empresa que vende inteligencia y protección DDoS. Ese interés comercial debe formar parte del contexto; no demuestra que la medición sea falsa.

La infografía incluye además una escala de suscripciones a servicios DDoS por encargo, desde cero hasta cinco cifras mensuales, y afirma que los ataques se venden por entrega, no por volumen. No identifica planes representativos, operaciones cerradas ni condiciones comerciales. Tampoco publica precios de mitigación defensiva. Por tanto, esa escala no permite calcular el mercado que podrían captar los proveedores de seguridad.

La decisión de compra depende de cada red

Un operador necesita mapear por dónde entra el tráfico y qué servicios dependen de cada enlace. Debe conocer el caudal disponible en el borde pertinente y cuántos paquetes por segundo puede inspeccionar y filtrar la ruta de mitigación. También necesita medir cuánto tráfico legítimo se devuelve, qué proveedor ascendente o servicio en la nube puede absorber el desbordamiento y cuánto tarda en activarse esa alternativa.

La capacidad nominal de un equipo no basta. La detección permanente en el borde puede resolver parte de los eventos localmente; un servicio de limpieza en la nube puede ayudar cuando el ataque está distribuido o supera la capacidad propia; un diseño combinado amplía opciones, pero requiere integración, pruebas y coordinación. La combinación adecuada depende de la topología, los compromisos con clientes, la latencia tolerada, la demanda simultánea, la capacidad existente y el coste de los falsos positivos. El recuento global de NETSCOUT no describe ninguna de esas condiciones para un comprador determinado.

Para decidir una compra, conviene seguir resultados: tiempo de detección, tiempo de mitigación, tráfico legítimo descartado, continuidad durante varios eventos, capacidad comprometida, precio del desbordamiento y calidad del informe posterior. Los contratos deben aclarar quién entrega el tráfico limpio, qué niveles de capacidad y respuesta están garantizados y cómo se factura un pico por encima del compromiso. Sin estos datos, la subida de ataques sobre un umbral justifica una revisión, no una cifra automática de presupuesto.

El volumen total no está conciliado

La comparación de 1.095 con 79 es distinta de la discrepancia en el volumen general. NETSCOUT dice que ATLAS observó más de 9,1 millones de ataques en el primer semestre de 2026; la infografía precisa 9.146.021. Sin embargo, la página Global Highlights identifica el mismo periodo de enero a junio y muestra 4.267.744 ataques, junto con un cambio del 14,13 % frente a los seis meses anteriores. El material público consultado no aclara por qué los totales son tan distintos.

La diferencia no es un redondeo. Podría obedecer a definiciones, alcance, actualización de datos o algún otro tratamiento, pero las páginas no confirman ninguna explicación. Es mejor dejarla sin resolver que escoger un denominador y calcular a partir de él una tendencia general. La discrepancia vuelve importante la definición cuando se comparan periodos o se estima el volumen total. No cambia por sí sola el recuento publicado de 1.095 ataques por encima de los umbrales.

La conclusión de mercado es más acotada que el titular: NETSCOUT observó muchos más cruces de umbrales de alta capacidad durante el primer semestre de 2026. Una organización puede usar esa señal para probar su propia arquitectura. Para sostener que aumentaron el daño, las compras o los ingresos del sector hacen falta datos de incidentes, resultados de mitigación, contratos, precios y facturación de los proveedores.

Fuentes públicas