NETSCOUT registró 487.415 ataques DDoS en Brasil en el primer semestre de 2026, un alza de 3,56 % frente a los 470.677 del semestre anterior, según Teletime. Las telecomunicaciones concentraron 175.023 de ellos, el 35,9 % del total, la mayor parte contra operadores inalámbricos (las redes fijas sumaron 27.967), de acuerdo con TeleSíntese. La propia NETSCOUT advierte que las cifras reflejan lo que observa su infraestructura y no son un censo.
Quien opera una red suele ver el ataque DDoS al proveedor de internet como algo que llega de afuera y se resuelve en el borde. El mismo informe describe redes de proxies residenciales que originan tráfico de ataque desde IPs de consumidores, lo que pone parte del problema dentro de la casa de los clientes. La mitigación sigue en el borde. La higiene del parque de CPEs (firmware, contraseña de administración, servicios expuestos, configuración que regresa después del reset) le corresponde al proveedor, y con miles de equipos instalados no se puede hacer uno por uno.
¿De dónde sale un ataque DDoS al proveedor de internet?
Parte del tráfico de ataque sale de equipos domésticos comprometidos, y ese tráfico es difícil de filtrar. Una botnet en servidores alquilados usa direcciones de data center, que el borde reconoce con cierta facilidad, mientras que una IP residencial con historial de tráfico normal pasa por cualquier filtro grueso. En el resumen del informe de NETSCOUT, los proxies residenciales aportan direcciones de origen parecidas a las de abonados comunes, y la empresa recomienda una mitigación más selectiva, con más capacidad de scrubbing en el borde del proveedor.
En diciembre de 2025, en un evento de NIC.br (la entidad que administra el dominio .br y servicios centrales de internet en Brasil), Craig Labovitz, ejecutivo de Nokia, estimó en unos 25 millones los equipos residenciales brasileños involucrados de forma recurrente en ataques, según TeleSíntese. Es una estimación de un conferencista y no tiene el peso de un dato oficial. En su lista aparecen televisores conectados, cámaras, aplicaciones Android y programas gratuitos, y, en sus palabras, la amenaza normalmente es la propia red.
¿Cómo termina la CPE del abonado en un ataque DDoS?
La CPE termina en un ataque DDoS cuando es invadida y pasa a formar parte de una botnet, o cuando se usa como reflector de amplificación. Las recomendaciones de CERT.br sobre DDoS, el equipo nacional de respuesta a incidentes informáticos de Brasil, incluyen CPEs, routers Wi-Fi y módems de banda ancha entre los equipos usados en botnets, junto con cámaras, computadoras y celulares. Esos otros aparatos también están en la casa del abonado y fuera de la gestión del proveedor, así que la CPE ni siquiera es el origen principal. Es la parte que el proveedor puede estandarizar.
La invasión suele entrar por un firmware antiguo con una falla conocida o por la contraseña de administración de fábrica, y empeora cuando la gestión web responde por la WAN. En soporte es muy común el router que el abonado compró en una tienda y al que nunca le cambió la contraseña.
En la amplificación, el atacante envía consultas pequeñas con la dirección de la víctima falsificada, y el equipo le devuelve a la víctima respuestas mucho más grandes. CERT.br menciona DNS, NTP y SSDP entre los servicios con factor de amplificación alto y señala que las CPEs suelen venir con ellos habilitados. En Brasil, la amplificación de DNS fue el segundo vector más frecuente del semestre, con 61.575 registros, según el mismo reportaje de TeleSíntese.
Qué se resuelve en el borde y qué en el parque
Un ataque en curso se mitiga en el borde y en el upstream, con scrubbing, filtrado selectivo y holgura de tránsito, y ninguna configuración de CPE cambia eso. En la salida de la red, el antispoofing de la BCP 38 (RFC 2827) descarta los paquetes de su base con origen falsificado, lo que le quita al equipo comprometido la capacidad de lanzar reflexión contra terceros. La RFC advierte que el filtro no protege contra inundaciones que vienen de direcciones válidas, que es justamente el caso de los proxies residenciales.
El firmware actualizado y los servicios expuestos cerrados reducen, mes a mes, cuántos equipos de su base pueden ser reclutados o usados como reflector, sin efecto sobre el ataque que está ocurriendo ahora.
¿Cómo actualizar el firmware de miles de CPEs sin cortar el servicio?
Para actualizar firmware a escala sin dejar abonados sin servicio, el proveedor necesita probar en un lote pequeño y tener un freno automático para cuando las fallas se acumulan. En IXC ACS, la actualización de firmware masiva funciona así:
- Filtrar el parque por fabricante, modelo, versión de hardware y firmware actual. El hardware importa porque un mismo modelo comercial puede tener revisiones que no aceptan el mismo archivo.
- Aplicar el archivo en 2 o 3 equipos y verificar que la WAN y el Wi-Fi volvieron como estaban.
- Programar el lote para un horario de bajo tráfico, ya que el equipo se reinicia al grabar el firmware.
- Seguir en el panel los equipos actualizados, rechazados y pendientes. Si más del 30 % falla, rechaza el archivo o da timeout, el sistema detiene la tarea, y la opción de rehacer considera solo los que fallaron.
El ACS solo alcanza las CPEs apuntadas a él, así que una cobertura baja deja parte del parque afuera (la guía sobre cómo apuntar ONTs al ACS en red multimarca trata ese tema). Lo que funciona en cada equipo depende de la homologación de modelo y firmware. Hay más de 230 modelos homologados, y el router que el abonado compró por su cuenta puede no estar entre ellos. Detrás de CGNAT, el comando espera el próximo inform de la CPE.
IXC ACS no detecta ni mitiga DDoS y no identifica equipos infectados. Su papel es estandarizar y corregir las CPEs que gestiona.
¿Qué pasa cuando el abonado hace un reset de fábrica?
El reset de fábrica trae de vuelta la contraseña por defecto y los servicios que usted había desactivado. En soporte la escena es conocida. El internet se traba una noche cualquiera, el abonado mantiene presionado el botón de reset y el equipo vuelve al estado en que salió de la caja.
La reconfiguración automática por preset se encarga de ese regreso. Cuando la CPE vuelve a comunicarse con el ACS después del reset (lo que depende de cómo se hizo el apuntamiento), el sistema identifica el equipo, consulta el preset y vuelve a aplicar la preconfiguración definida por el proveedor, con parámetros como acceso web, DNS de la WAN y de la LAN, NTP y acceso remoto. La misma pantalla lista los modelos que no soportan algún parámetro, y ahí ya aparecen los equipos que van a necesitar otro tratamiento.
Para lo que queda fuera de la preconfiguración, como un servicio que el modelo solo expone en el árbol TR-069, hay dos caminos. A escala, el soporte técnico de IXC ACS ejecuta la modificación masiva de parámetros a pedido del proveedor, con envío en el próximo inform de cada equipo y un informe final con modelo, firmware, número de serie y lo que cambió. Caso por caso, el soporte de nivel 2 puede pedirle al asistente de IA que encuentre y grabe el parámetro sin pasar por una pantalla, y el asistente consulta antes las capacidades de ese modelo.
Checklist de higiene del parque de CPEs
La higiene del parque de CPEs empieza por el inventario y se mantiene con revisiones periódicas.
- Relevar el parque por fabricante, modelo, hardware y firmware, destacando las versiones antiguas que concentran muchos equipos.
- Medir cuántas CPEs activas están apuntadas al ACS. Lo que queda afuera no entra en ninguno de los puntos siguientes.
- Definir la política de contraseña de administración, sin contraseña de fábrica y sin una contraseña única para todo el parque.
- Desactivar la gestión web y remota por la WAN donde nadie la usa y verificar, modelo por modelo, si DNS, SSDP/UPnP o NTP responden en la interfaz externa.
- Fijar una ventana mensual de firmware, con lote de prueba y horario de bajo tráfico.
- Resetear en el banco de pruebas un equipo de cada modelo y revisar qué vuelve configurado y qué no.
- Confirmar con el equipo de borde que el antispoofing de salida está activo.
- Repetir la revisión cada trimestre, porque entran modelos nuevos a la base todo el tiempo.
Preguntas frecuentes
¿El router del cliente puede usarse en un ataque DDoS? Sí. CERT.br incluye CPEs, routers Wi-Fi y módems entre los equipos usados en botnets, y muchos salen de fábrica con DNS y SSDP habilitados, servicios que sirven para amplificación.
¿Actualizar el firmware de las CPEs resuelve el DDoS? El ataque en curso se sigue mitigando en el borde y en el upstream. La actualización reduce cuántos equipos de su base pueden ser reclutados, así que ayuda a mediano plazo, junto con la mitigación.
¿Qué es un proxy residencial en un ataque DDoS? Es una red de dispositivos domésticos, como televisores, cámaras y celulares con ciertas aplicaciones, que reenvía tráfico de terceros por la IP de la casa del abonado. Según NETSCOUT, eso hace que el tráfico de ataque se parezca a la demanda legítima.
¿El proveedor es responsable del router en comodato usado en un ataque? Depende del contrato y de las cláusulas de comodato, así que la respuesta tiene que venir de su área legal. En la parte técnica, el equipo en comodato es del proveedor, y es él quien decide cómo actualizarlo y estandarizarlo.
Por dónde empezar en su operación
Empiece por dos números que casi nadie tiene en la cabeza: cuántas versiones distintas de firmware corren hoy en el parque y cuántas CPEs activas están apuntadas al ACS. Con ellos se puede estimar el tamaño del trabajo y atacar primero los modelos que juntan muchos equipos y firmware antiguo. La conversación sobre mitigación y antispoofing con el equipo de borde corre en paralelo, con otro presupuesto y otro plazo.
Si quiere ver la actualización de firmware masiva y la reconfiguración automática en su propio parque, haga clic en el botón de abajo y hable con nuestro equipo.