Botnets IoT 2026: cuando tu router se convierte en arma de ciberataque

Las botnets de dispositivos IoT (Internet de las Cosas) representan una de las amenazas más extendidas en el panorama de ciberseguridad de 2026, según el informe «Amenazas emergentes» publicado por INCIBE en febrero de este año. Estas redes de dispositivos inteligentes comprometidos —routers, cámaras IP, enchufes inteligentes y otros gadgets conectados— forman ejércitos de «zombis» que los ciberdelincuentes utilizan para lanzar ataques de denegación de servicio (DDoS) masivos, distribuir malware adicional o minar criptomonedas sin consentimiento del propietario.

Dispositivos IoT más vulnerables

INCIBE identifica estos dispositivos como los más frecuentemente reclutados para botnets:

• Routers domésticos: 40% de la capacidad de las botnets actuales, principalmente por contraseñas por defecto no cambiadas y firmware desactualizado
• Cámaras IP y videovigilancia: 25% de los dispositivos infectados, debido a vulnerabilidades conocidas sin parchear y acceso remoto habilitado por defecto
• Enchufes inteligentes (smart plugs): 15% de la botnet, aprovechando APIs sin autenticación adecuada
• Almacenamiento en red doméstico (NAS): 10% de los dispositivos comprometidos, con puertos administrativos expuestos a internet
• Otros dispositivos: 10% (termostatos inteligentes, asistentes de voz, electrodomésticos conectados)

El estudio «IoT inseguro» de CCN-CERT reveló que el 73% de los routers domésticos en España aún utilizan la contraseña de fábrica, convirtiéndolos en objetivos fáciles para botnets especializadas como Mirai y sus variantes.

Vectores de infección masiva

Las botnets IoT se propagan mediante técnicas automatizadas de escaneo y explotación:

• Mirai-like: Escaneo masivo de puertos 23/2323 (Telnet) con diccionarios de contraseñas por defecto
• Moobot: Explotación de vulnerabilidades UPnP y paneles de administración HTTP sin autenticación
• VPNFilter: Infección persistente del firmware del router que sobrevive a reinicios
• Exploit kits automatizados: Herramientas que aprovechan CVEs conocidos en routers domésticos sin parchear

Una vez infectado, el dispositivo se comunica con un servidor de Comando y Control (C&C) para recibir instrucciones y formar parte de la botnet, generalmente sin mostrar síntomas evidentes al usuario.

Capacidades de ataque verificadas

Las botnets IoT modernas son capaces de generar ataques DDoS de alta intensidad:

• Volumen: Ataques sostenidos de hasta 2,5 Tbps en 2026 según análisis de Cloudflare
• Duración: Ataques continuos de hasta 4 horas sin degradación del rendimiento
• Métodos: UDP flood, amplificación DNS, HTTP GET floods y ataques de aplicación específica
• Objetivos: Entidades bancarias, plataformas de e-commerce, servicios gubernamentales y infraestructuras críticas

El coste medio de downtime por ataque DDoS para empresas de e-commerce se estima en 25.000 dólares por minuto según estudios de IDC 2026.

Botnets activas en 2026

Las principales familias de botnets IoT documentadas incluyen:

• Variantes Mirai: 42% de la capacidad total de botnets IoT, con códigos fuente públicos que permiten creación de nuevas variantes
• Familia Moobot: 28% de capacidad DDoS, especializada en explotación de dispositivos con UPnP habilitado
• Hajime: 15% de dispositivos infectados (considerada «benévola» por algunos investigadores al cerrar puertos vulnerables, aunque sigue siendo malware no autorizado)
• VPNFilter: 10% de routers domésticos infectados con firmware modificado persistente
• Otras: 5% (nuevas variantes emergentes)

Impacto económico global

El impacto económico de las botnets IoT incluye:

• Downtime empresarial: 25.000 dólares por minuto para empresas de e-commerce durante ataques DDoS
• Alquiler de botnets: Desde 100 dólares por hora para ataques de 100 Gbps en mercados ilegales
• Distribución de ransomware: El 60% de las botnets IoT también se utilizan para propagar ransomware a redes corporativas
• Cryptojacking: El 20% de la capacidad de procesamiento robada se destina a minería de criptomonedas

Prevención IoT esencial recomendada por INCIBE

Medidas obligatorias para proteger dispositivos IoT:

1. CAMBIAR contraseñas por defecto INMEDIATAMENTE: Nunca uses la contraseña de fábrica; crea una contraseña robusta única para cada dispositivo
2. Deshabilitar servicios innecesarios: Desactivar UPnP, Telnet y acceso remoto si no son estrictamente necesarios
3. Actualizar firmware mensualmente: Revisar periódicamente si hay actualizaciones disponibles para cada dispositivo
4. Segmentar red doméstica: Crear una VLAN o red Wi-Fi invitada exclusiva para dispositivos IoT, separándolos de ordenadores y smartphones
5. Configurar reglas de firewall: Limitar el acceso externo a puertos 80/443/8080 solo desde la red local (LAN)

Cómo detectar si tu dispositivo forma parte de una botnet

• Tráfico de red anormal: Uso elevado de ancho de banda sin explicación, especialmente en horas nocturnas
• Rendimiento degradado: El router o dispositivo se calienta constantemente aunque no esté en uso intensivo
• Luces del router parpadeando: Las luces de actividad de red parpadean continuamente aunque no haya dispositivos conectados activamente
• Lentitud general: La conexión a internet se vuelve inusualmente lenta sin motivo aparente

Qué hacer si tu dispositivo está infectado

1. Desconecta de internet: Apaga el Wi-Fi y desconecta el cable Ethernet para evitar que el dispositivo participe en ataques
2. Restablece de fábrica: Para routers y dispositivos IoT, realiza un restablecimiento de fábrica y configura con contraseñas seguras
3. Actualiza firmware: Tras el restablecimiento, instala la última versión de firmware disponible
4. Cambia todas las contraseñas: Desde un dispositivo limpio, modifica las contraseñas de todas tus cuentas
5. Denuncia: Reporta el incidente a INCIBE (017) para contribuir a la identificación de botnets activas