Un ataque masivo de 1,3 Tbps puede dejar fuera de servicio a una organización en cuestión de minutos si la defensa empieza demasiado tarde. Esa fue una de las ideas centrales que se abordó durante la mesa redonda celebrada en AOTEC, donde distintos expertos del sector analizaron los retos de ciberseguridad que ya afectan a operadores, empresas y proveedores de servicios digitales.

Zigor Gaubeca, CIO, explicó que una de las claves para contener un ataque de estas características en apenas cinco minutos está en disponer de una primera capa de protección capaz de absorber y filtrar el tráfico malicioso antes de que alcance la red del cliente. En los ataques volumétricos, el objetivo no siempre es explotar una vulnerabilidad concreta, sino saturar enlaces, equipos y servicios hasta hacerlos inaccesibles. Por eso la defensa debe comenzar aguas arriba, en una infraestructura preparada para limpiar el tráfico antes de que el impacto se propague.

La primera barrera: detener el ataque antes de que llegue

Los ataques DDoS volumétricos siguen siendo una de las amenazas más difíciles de gestionar para operadores y empresas conectadas. Su lógica es sencilla: enviar una cantidad masiva de tráfico hacia un objetivo para agotar su capacidad de red o de procesamiento. Cuando el volumen alcanza cifras del orden de los terabits por segundo, la protección local ya no suele ser suficiente.

La mesa redonda de AOTEC puso el foco precisamente en ese punto. Para frenar un ataque de 1,3 Tbps, la respuesta no puede depender solo de firewalls internos, reglas manuales o intervención tardía. Es necesario contar con una arquitectura de mitigación distribuida, capaz de detectar patrones anómalos, desviar tráfico hacia sistemas de limpieza y devolver únicamente las conexiones legítimas.

Este enfoque es especialmente importante para operadores de telecomunicaciones, proveedores de Internet y empresas con servicios críticos expuestos. Si el tráfico malicioso entra directamente en la red, el daño ya está hecho: enlaces congestionados, servicios degradados y clientes afectados. La defensa más eficaz consiste en evitar que el ataque alcance la infraestructura sensible.

La intervención de Gaubeca dejó una lectura clara para el sector: la ciberseguridad ya no puede verse como un añadido posterior a la conectividad. Debe formar parte del diseño de red, de la operación diaria y de la estrategia de continuidad de negocio.

Formación, credenciales y movimiento lateral

La conversación no se limitó a los ataques DDoS. Francesco Collini, de FlashStart, subrayó la importancia de la formación y la concienciación del cliente. En ciberseguridad, muchas brechas no empiezan con una técnica sofisticada, sino con un error humano, una credencial robada, un enlace malicioso o una configuración débil.

La formación no elimina todos los riesgos, pero reduce la superficie de exposición. Un cliente que entiende qué señales debe vigilar, cómo proteger sus accesos y cuándo alertar ante un comportamiento extraño se convierte en una parte activa de la defensa. Para operadores y proveedores de servicios, este punto es cada vez más importante: proteger la red también implica ayudar a que los usuarios no sean el primer eslabón débil.

Jesús Feliz Fernández, de INCIBE, incidió en otro aspecto crítico: la prevención del movimiento lateral. Una vez que un atacante consigue acceso inicial a un sistema, su siguiente objetivo suele ser desplazarse dentro de la red para alcanzar credenciales, servidores, copias de seguridad, sistemas de administración o datos sensibles. Entender cómo se produce ese movimiento es esencial antes de desplegar nuevas soluciones.

Kepa Unzilla Galán, de Sarenet, reforzó esa misma idea al destacar la gestión de credenciales, la prevención del movimiento lateral y la necesidad de contar con planes de recuperación ordenados. La continuidad del negocio no depende solo de impedir todos los ataques, algo imposible, sino de limitar su alcance y recuperar servicios de forma controlada cuando se produce un incidente.

La gestión de identidades, el principio de mínimo privilegio, la segmentación, la monitorización y las copias de seguridad probadas siguen siendo elementos básicos. La tecnología cambia, pero algunas debilidades se repiten: contraseñas reutilizadas, accesos excesivos, falta de visibilidad interna y planes de recuperación que nunca se han ensayado.

IA para detectar tráfico anómalo, pero con criterio

La inteligencia artificial también estuvo presente en el debate. Su papel en la detección de anomalías y tráfico malicioso en tiempo real empieza a ser cada vez más relevante, sobre todo cuando el volumen de señales supera la capacidad de análisis manual de los equipos de seguridad.

En ataques masivos, la IA puede ayudar a distinguir patrones de tráfico legítimo y malicioso, identificar comportamientos inusuales, priorizar alertas y acelerar la respuesta. También puede ser útil ante amenazas menos previsibles, como ataques de día cero o campañas que cambian de forma durante su ejecución.

Pero la IA no sustituye la arquitectura de defensa ni la experiencia humana. Un modelo puede detectar una anomalía, pero la organización necesita procesos claros para decidir qué hacer con esa señal. Bloquear demasiado puede afectar a usuarios legítimos; bloquear tarde puede permitir que el ataque avance. La clave está en combinar automatización, reglas de negocio, supervisión técnica y capacidad de respuesta.

La mesa redonda dejó un mensaje común: la ciberseguridad ya no puede abordarse como una suma de productos aislados. Hace falta una estrategia por capas. Una primera barrera contra ataques volumétricos, controles de acceso sólidos, prevención del movimiento lateral, formación continua, monitorización en tiempo real y planes de recuperación probados.

Para los operadores, esta visión es especialmente importante. Su red no es solo un canal de acceso a Internet; es la base sobre la que trabajan empresas, administraciones, comercios, servicios críticos y ciudadanos. Un ataque que degrade esa infraestructura no afecta únicamente a un servidor concreto, sino a la confianza en el servicio.

AOTEC sirvió así como punto de encuentro para una conversación cada vez más urgente. Los ataques son más intensos, la superficie de exposición crece y las empresas dependen más que nunca de servicios conectados. Frenar un ataque de 1,3 Tbps en cinco minutos exige capacidad técnica, pero también preparación previa. La defensa empieza mucho antes de que llegue el tráfico malicioso.

Preguntas frecuentes

¿Qué es un ataque DDoS volumétrico?
Es un ataque que intenta saturar una red o servicio enviando grandes cantidades de tráfico malicioso hasta impedir que los usuarios legítimos puedan acceder.

¿Por qué es importante detener el ataque antes de que llegue a la red?
Porque si el tráfico malicioso entra en la infraestructura del cliente, puede congestionar enlaces, degradar servicios y dificultar la respuesta. La mitigación previa reduce el impacto.

¿Qué papel tiene la IA en la ciberseguridad de red?
Puede ayudar a detectar anomalías, identificar tráfico malicioso y priorizar alertas en tiempo real, aunque debe combinarse con supervisión humana y una arquitectura de defensa adecuada.

¿Qué otras medidas son necesarias además de la protección DDoS?
Formación de usuarios, gestión de credenciales, segmentación, prevención del movimiento lateral, monitorización continua y planes de recuperación probados.

vía: LinkedIN