Un ataque DDoS es un intento de interrumpir un servicio digital saturándolo con tráfico o peticiones procedentes de múltiples orígenes. Puede dejar inaccesibles una tienda online, una web corporativa, una pasarela de pagos o una aplicación sin necesidad de robar contraseñas o cambiar su contenido. Comprender qué es un DDoS, cómo funciona y cómo proteger una empresa ayuda a distinguir un problema de disponibilidad de una filtración de datos.
DDoS significa Distributed Denial of Service, denegación de servicio distribuida. La diferencia con un ataque DoS simple es que las solicitudes proceden de múltiples fuentes. No todas las caídas de una web son un ataque: una actualización defectuosa, un fallo del hosting, un problema de DNS o una campaña comercial con tráfico legítimo también pueden causar saturaciones. La atribución requiere indicios técnicos.
Qué es un ataque DDoS y cómo funciona
Un ataque DDoS trata de agotar recursos de red, conexiones, capacidad de procesamiento o funciones de una aplicación. Los atacantes pueden aprovechar muchos dispositivos comprometidos u otras fuentes para generar más peticiones de las que el servicio es capaz de gestionar. Los usuarios legítimos sufren lentitud, errores o indisponibilidad, aunque el servidor y sus datos no hayan sido necesariamente modificados.
Un ataque puede estar dirigido contra la conexión del alojamiento, un servicio de autenticación o una ruta especialmente costosa de la aplicación, como búsquedas o procesos de pago. El daño depende de cómo esté construida la infraestructura y de su capacidad para distribuir y filtrar el tráfico. INCIBE advierte de que las interrupciones pueden afectar de forma significativa a la operativa de las empresas.
Qué diferencia hay entre un ataque DoS y uno DDoS
La diferencia entre DoS y DDoS está en la distribución de las fuentes desde las que se provoca la denegación de servicio. Un DoS puede proceder de un único origen, mientras que un DDoS utiliza múltiples orígenes. Eso dificulta bloquear el tráfico malicioso mediante una única dirección IP y exige observar patrones y capacidad de mitigación a mayor escala.
La terminología no indica automáticamente quién está detrás del incidente. Tampoco demuestra que exista robo de información. Un ataque destinado a impedir que los clientes paguen puede ser grave aun cuando no se haya accedido a ninguna base de datos. En la comunicación a usuarios es importante informar de aquello que está confirmado y no mezclar saturación con brechas de seguridad.
Tipos de ataques DDoS que afectan a empresas
Los tipos de ataques DDoS suelen dividirse en volumétricos, de protocolo y de aplicación. Los primeros buscan llenar la capacidad de conexión; los segundos agotan recursos necesarios para atender conexiones; los terceros envían peticiones que resultan costosas para la web o la base de datos, incluso cuando el volumen aparente no es excepcional.
En la práctica pueden combinarse varios enfoques. Una tienda online que usa un buscador intensivo o una aplicación con consultas complejas puede responder mal ante ráfagas de peticiones de capa de aplicación. Por eso no basta con contratar más ancho de banda sin comprobar qué recurso concreto sufre la saturación.
| Situación | Recurso afectado | Ejemplo |
|---|---|---|
| DDoS volumétrico | Conexión | La web deja de responder por saturación |
| DDoS de protocolo | Gestión de conexiones | El servidor no puede aceptar sesiones nuevas |
| DDoS de aplicación | CPU y base de datos | Fallan búsqueda o pasarela |
| Tráfico legítimo extraordinario | Recursos similares | Campaña comercial que supera capacidad |
Cómo detectar si una web sufre un DDoS
Detectar un DDoS requiere revisar registros y métricas: solicitudes por segundo, patrones anómalos, respuestas del servidor, tiempos de espera y posibles cambios recientes en infraestructura. Una subida abrupta del tráfico acompañada de errores puede ser una señal, pero debe contrastarse con el comportamiento habitual y con la información del proveedor de hosting o CDN.
Un sitio puede sufrir un error de programación después de una actualización y presentar síntomas semejantes. Antes de atribuir la causa a un ataque hay que verificar registros, monitorización y estado de servicios externos. Bloquear tráfico legítimo por una conclusión precipitada puede empeorar una incidencia y reducir ventas.
Qué hacer durante un ataque DDoS
Ante un ataque DDoS conviene activar el plan de respuesta a incidentes, contactar con el alojamiento, conservar registros y activar las medidas de mitigación disponibles. Una CDN, los servicios especializados, el balanceo de carga y las reglas de control pueden ayudar a absorber peticiones maliciosas. Las medidas exactas dependen de la infraestructura y de la naturaleza del tráfico.
La empresa debe decidir también cómo comunicar la situación. Puede anunciar que el servicio está sufriendo una incidencia de disponibilidad y ofrecer canales alternativos de atención, sin afirmar una intrusión no confirmada. Si se detectan indicios adicionales de acceso no autorizado, ese incidente requerirá su propio análisis y las actuaciones legales correspondientes.
Cuánto puede costar un DDoS a una tienda online
El coste de un ataque DDoS depende de la duración, el número de operaciones afectadas y el tiempo de recuperación. Como ejemplo didáctico, una tienda que habitualmente factura 300 euros por hora podría dejar de registrar 1.200 euros de ventas brutas durante cuatro horas de indisponibilidad, si la demanda se mantuviera y ninguna compra se recuperase después.
El cálculo es una hipótesis, no una estadística de daños ni una estimación de beneficio perdido. Algunas compras se aplazan y los márgenes varían. También existen costes de soporte, campañas publicitarias desaprovechadas y pérdida de confianza. En una aplicación B2B, el principal perjuicio puede ser la interrupción de operaciones de clientes, aunque no se realicen pagos directamente en la web.
Cómo proteger una web o e-commerce frente a ataques DDoS
Proteger una web de un DDoS exige monitorización, capacidad de mitigación, reglas adaptadas al tráfico real, caché y planificación de continuidad. INCIBE recomienda revisar protecciones y procedimientos antes de sufrir una incidencia. No existe una configuración universal que garantice inmunidad frente a cualquier ataque.
Conviene complementar estas medidas con actualizaciones y controles de acceso. Nuestra explicación de fallos críticos de PHP aborda vulnerabilidades distintas; la guía de passkeys explica otra capa de protección, la autenticación. La dependencia de servicios externos también se ilustra en el análisis de capacidad de AWS y nube empresarial.
DDoS y caída del servidor: errores de diagnóstico frecuentes
Una caída del servidor puede tener causas operativas, de infraestructura o de seguridad. La indisponibilidad por sí sola no permite distinguirlas. Es aconsejable correlacionar registros de la aplicación, red y proveedores, preservando las evidencias y evitando desactivar filtros o publicar atribuciones sin base suficiente.
La recuperación exige comprobar también que la infraestructura conserva su integridad y que el servicio funciona con normalidad para usuarios legítimos. Para empresas que dependen de proveedores tecnológicos, resulta útil comprender las consecuencias de incidentes de disponibilidad y revisar periódicamente los acuerdos de servicio y contactos de emergencia.
Preguntas frecuentes
Las respuestas se refieren a situaciones generales: un incidente real necesita análisis técnico propio.
¿Un ataque DDoS roba información de los clientes?
Un DDoS no implica necesariamente robo de datos: su objetivo característico es dificultar el servicio, aunque pueda coincidir con otros ataques.
¿Puede una pequeña empresa sufrir un DDoS?
Las pymes también pueden sufrir DDoS si sus servicios están expuestos a Internet; la preparación debe adaptarse a su tamaño y actividad.
¿Cloudflare o una CDN eliminan cualquier DDoS?
Una CDN puede ayudar a mitigar DDoS, pero no hay garantía absoluta y la configuración depende del tipo de tráfico y de la aplicación.
¿Es lo mismo un DDoS que hackear una web?
DDoS y acceso ilícito no son equivalentes: puede haber una interrupción sin intrusión ni modificación de datos.
¿Qué hago si mi web no carga por un posible DDoS?
Ante un posible DDoS, comprueba el estado del proveedor, conserva evidencias, contacta con soporte y aplica un plan de respuesta.
Fuentes consultadas
Revisión de información técnica: 24 de octubre de 2026.
- INCIBE: ataques DDoS y protección empresarial
- INCIBE: medidas preventivas de denegación de servicio
- Cloudflare: qué es una denegación de servicio
