Varias oleadas de ataques DDoS interrumpieron los servicios de internet público de Corea del Norte esta semana, dejando fuera de línea los principales sitios web estatales. Según Doug Madory, director de análisis de internet de Kentik, las caídas se debieron a inundaciones repentinas de tráfico provenientes de países como Vietnam, Filipinas y Venezuela, comenzando el 20 de octubre a las 02:01 UTC.

Múltiples oleadas de ataques DDoS interrumpieron los servicios de internet público de Corea del Norte esta semana, dejando fuera de línea los principales sitios web estatales.

Doug Madory, director de análisis de internet de Kentik, vinculó los cortes a inundaciones repentinas de tráfico provenientes de Vietnam, Filipinas, Venezuela y otros países. El tráfico comenzó a las 02:01 UTC del 20 de octubre, haciendo que los sitios web del país fueran inaccesibles.

La interrupción afectó a más de 40 sitios web que utilizan el dominio .kp de Corea del Norte, incluyendo el Ministerio de Asuntos Exteriores y la Agencia Central de Noticias Coreana.

El acceso se mantuvo inestable durante aproximadamente 32 horas. Informes de Corea del Sur indicaron que los servicios regresaron alrededor de las 7 p.m. hora local del 21 de octubre, tras repetidas caídas y breves recuperaciones.

Corea del Norte alcanzada por múltiples ataques DDoS

En los hallazgos públicos de Doug Madory, Madory afirmó que los datos de tráfico agregados mostraron varias oleadas de tráfico entrante en lugar de un solo aumento continuo. Esa cronología ayudó a conectar los fallos de los sitios web con un ataque de denegación de servicio distribuido, que satura un objetivo con tráfico y evita que los usuarios normales accedan a él.

“Todo este tráfico comenzó al mismo tiempo y proviene de Vietnam y Venezuela. Eso es definitivamente un ataque DDoS”, dijo Madory a Reuters, según el informe publicado por AsiaOne. Kentik advirtió que su análisis cubría solo una parte del tráfico dirigido a Corea del Norte.

Los países en los registros de tráfico no identifican quién ordenó los ataques. Kentik no ha identificado a los responsables. Aunque los dispositivos comprometidos pueden generar tráfico desde muchas ubicaciones, ninguna botnet específica ha sido vinculada públicamente a este incidente.

Parece que los norcoreanos cambiaron la forma en que se transitaba 175.45.176.0/24 en las últimas horas, pasando por Cenbong (AS134544) hacia Transtelecom (AS20485) en Rusia. pic.twitter.com/9jtL9bQfUw

— Doug Madory (también en Bluesky) (@DougMadory) 21 de octubre de 2026

Las observaciones complementarias de Madory identificaron caídas repetidas que afectaron a 175.45.176.0/24, un bloque de red que contiene servidores de nombres para dominios .kp.

Estos servidores ayudan a traducir los nombres de los sitios web en direcciones de internet. Su pérdida puede dejar múltiples sitios inaccesibles, incluso cuando los servidores web individuales permanezcan en línea.

Sus observaciones de rutas también describieron cambios relacionados con la red AS131279 de Corea del Norte. El bloque 175.45.176.0/24 se movió de Cenbong a TTK de Rusia, mientras que el 175.45.178.0/24 cambió a TTK antes de regresar a Cenbong. Los otros dos bloques enumerados mantuvieron sus respectivos proveedores.

Esas observaciones describen cómo cambiaron las rutas de tráfico durante el incidente. No establecen si los operadores cambiaron deliberadamente las rutas para reducir el impacto del ataque.

La cobertura inicial consideró problemas de energía o fallos de telecomunicaciones como posibles explicaciones. Los hallazgos posteriores de Kentik añadieron evidencia directa de tráfico que respalda la explicación de un DDoS.

Sin embargo, los informes disponibles no identifican el método de ataque, el volumen máximo de tráfico ni las herramientas utilizadas. Informes relacionados sobre la botnet Dysphoria explican cómo los routers y cámaras comprometidos pueden generar inundaciones de tráfico coordinadas.

Por ahora, la evidencia más fuerte es la estrecha coincidencia entre los picos de tráfico entrante y los fallos del servicio. El incidente muestra por qué las investigaciones de cortes necesitan mediciones de tráfico junto con comprobaciones de sitios web, mientras que la identidad del atacante y la escala total de la operación siguen sin resolverse.

Fuentes:
https://cybersecuritynews.com/multiple-waves-of-ddos-attacks-caused-in-north-korea/