Tipos de Ataques DDoS Explicados: L3, L4, L7, Amplificación y Más

Por Ingrid Haugen

Especialistas en Marketing de Desempeño Revisado por Media Buyers Senior

Publicado 10 junio 2026Actualizado 30 junio 2026

Comprender los diferentes tipos de ataques DDoS es fundamental para construir defensas efectivas. Cada tipo de ataque explota vulnerabilidades distintas, ataca diferentes capas de infraestructura y requiere estrategias de mitigación diferentes. Un ataque que satura tu ancho de banda requiere una respuesta completamente distinta a uno que agota el pool de conexiones de tu servidor web.

Esta guía desglosa todas las categorías principales de ataques DDoS, explica cómo funciona cada una y mapea las defensas específicas necesarias para detenerlas.

Descripción General de Categorías de Ataques DDoS

Ataques Volumétricos (Capa 3)

Los ataques volumétricos apuntan a consumir todo el ancho de banda disponible entre el objetivo e internet. Generan volúmenes masivos de tráfico medidos en Gbps (gigabits por segundo) o Tbps (terabits por segundo).

Inundación UDP

Envía una cantidad masiva de paquetes UDP a puertos aleatorios del objetivo. El servidor debe verificar si hay aplicaciones escuchando en cada puerto y responder con ICMP "destino inalcanzable", consumiendo ancho de banda y recursos de procesamiento. UDP es sin conexión, lo que facilita falsificar direcciones IP de origen y dificulta el filtrado.

Inundación ICMP (Ping)

Envía cantidades abrumadoras de paquetes de solicitud de eco ICMP (ping). El objetivo debe procesar cada solicitud y enviar respuestas de eco, consumiendo ancho de banda y CPU. También conocido como "Ping of Death" cuando se utilizan paquetes de tamaño excesivo.

Inundación por Fragmentación IP

Envía paquetes IP fragmentados que el objetivo debe reensambliar. El proceso de reensamblaje consume memoria y CPU. Los fragmentos superpuestos pueden bloquear sistemas vulnerables. Particularmente efectivo contra firewalls que deben reensambliar paquetes para inspección.

Ataques de Amplificación

Los ataques de amplificación explotan servidores de terceros para multiplicar el tráfico de ataque. El atacante envía solicitudes pequeñas con una dirección IP de origen falsificada (la IP de la víctima) a servidores vulnerables. Estos servidores responden con respuestas mucho más grandes dirigidas a la víctima.

Ataques de Protocolo (Capa 4)

Los ataques de protocolo explotan debilidades en las implementaciones de protocolos de red para agotar recursos del servidor, como tablas de conexión, firewalls, balanceadores de carga y seguimiento de estado de sesión.

Inundación SYN

El ataque de protocolo más común. Explota el protocolo de enlace de tres vías TCP: el atacante envía millones de paquetes SYN con direcciones IP de origen falsificadas. El servidor responde con SYN-ACK y espera el ACK final que nunca llega. Cada conexión semi-abierta consume memoria en la tabla de conexiones del servidor hasta llenarla, bloqueando conexiones legítimas.

Inundación ACK

Envía volúmenes masivos de paquetes TCP ACK. Aunque el servidor puede determinar rápidamente que estos paquetes ACK no pertenecen a ninguna conexión activa, el procesamiento sigue consumiendo CPU. Particularmente efectivo contra firewalls con estado que deben rastrear cada paquete contra sus tablas de conexión.

Inundación RST

Envía paquetes TCP RST (reinicio) falsificados para terminar conexiones activas entre el objetivo y sus usuarios legítimos. Si el atacante puede adivinar parámetros de conexión activa, puede desconectar usuarios reales.

Inundación de Conexión TCP

Completa protocolos de enlace TCP completos, estableciendo miles de conexiones que nunca se utilizan. A diferencia de las inundaciones SYN, estas son conexiones completas que sobreviven a las defensas de cookies SYN. Cada conexión consume memoria del servidor y descriptores de archivo hasta alcanzar los límites.

Ataques de Capa de Aplicación (Capa 7)

Los ataques de capa de aplicación son los más sofisticados y difíciles de mitigar porque cada solicitud parece legítima.

Inundación HTTP GET

Envía números masivos de solicitudes HTTP GET al sitio web objetivo. Cada solicitud es HTTP válido, lo que dificulta distinguirla del tráfico legítimo. Los atacantes se dirigen a páginas con muchos recursos: páginas de búsqueda, listados de productos, contenido dinámico que requiere consultas a bases de datos.

Inundación HTTP POST

Similar a las inundaciones GET pero utiliza solicitudes POST, típicamente dirigidas a formularios de inicio de sesión, puntos finales de registro, formularios de contacto o APIs. El procesamiento de POST es generalmente más intensivo en recursos que GET, lo que hace que esto sea más eficiente por solicitud.

Slowloris

Abre muchas conexiones al objetivo y envía solicitudes HTTP parciales muy lentamente, sin completarlas nunca. Cada conexión mantiene abierto un hilo del servidor indefinidamente. Con suficientes conexiones lentas, el servidor agota su conjunto de conexiones y no puede servir nuevas solicitudes. Devastadoramente efectivo contra servidores Apache.

Slow POST (R.U.D.Y.)

"R U Dead Yet" (¿Estás muerto?) - envía solicitudes HTTP POST con un encabezado Content-Length legítimo pero transmite los datos del cuerpo un byte a la vez, muy lentamente. El servidor mantiene la conexión abierta esperando el cuerpo completo, consumiendo un hilo/worker para cada solicitud lenta.

HTTP/2 Rapid Reset

Un ataque más reciente que explota el multiplexing de flujos de HTTP/2. El atacante abre e inmediatamente reinicia flujos a alta velocidad, forzando al servidor a procesar cada configuración y cierre de flujo. Descubierto en octubre de 2023, generó el ataque DDoS más grande hasta entonces con 398 millones de solicitudes por segundo.

WordPress XML-RPC

Explota la función de pingback de WordPress para amplificar ataques de L7. Los atacantes envían solicitudes de pingback desde miles de sitios WordPress a la víctima, creando una inundación distribuida de L7 que parece provenir de instalaciones legítimas de WordPress.

Ataques Multi-Vector

Los ataques DDoS modernos raramente utilizan un único vector. Los atacantes sofisticados combinan múltiples tipos de ataque simultáneamente:

• Volumétrico + L7: Amplificación DNS para saturar el ancho de banda mientras se inunda el servidor web con HTTP
• Inundación SYN + Slowloris: Agotar las tablas de conexión mientras se mantienen abiertas las conexiones restantes
• Bombardeo masivo: Ataque a rangos completos de IP con vectores variados para eludir los umbrales de mitigación por IP
• Ataques por pulsos: Ráfagas cortas e intensas que activan y desactivan repetidamente la mitigación, causando inestabilidad

DDoS de rescate (RDoS)

RDoS combina ataques DDoS con extorsión. Los atacantes envían una demanda de rescate (generalmente solicitando criptomonedas) y amenazan con un ataque DDoS sostenido si no se realiza el pago. Algunos grupos demuestran su capacidad con un ataque inicial breve antes de exigir el pago.

Mitigación por tipo de ataque

Ejemplos de ataques en el mundo real

Construir una Protección Integral

Ninguna solución única maneja todos los tipos de ataques DDoS. Construye una defensa en capas:

1. Capa de red: Hosting protegido contra DDoS con red anycast y centros de depuración para ataques volumétricos y de protocolo
2. Capa CDN/Proxy: Cloudflare, Akamai o AWS Shield para absorber y filtrar tráfico globalmente
3. Capa de aplicación: WAF reglas para detectar y bloquear patrones de ataque L7
4. Detección de bots: Gestión de bots con identificación de dispositivos para ataques L7 sofisticados
5. Limitación de velocidad: Limitación inteligente por IP y por endpoint
6. Monitoreo: Análisis de tráfico en tiempo real con escalada automática de alertas