37 288 informes de ataques en un fin de semana: 23 y 24 de mayo de 2026
El fin de semana del 23 y 24 de mayo de 2026, la red de ReportedIP registró 37 288 informes de ataques procedentes de 15 066 direcciones IP distintas. Las cifras muestran cómo es un fin de semana normal de ataques de fondo para cualquier servidor accesible desde internet, incluido cada sitio WordPress público.
Todas las cifras de abajo son una instantánea de esas 48 horas (hora de Berlín), contadas en la base de informes el 29 de septiembre de 2026.
¿Cuántos ataques registró la red el 23 y 24 de mayo de 2026?
Un informe de ataque es una entrada que envía un honeypot o un sitio miembro cuando detecta a un atacante. El sábado y el domingo produjeron casi el mismo volumen:
| Día | Informes de ataques | IP distintas |
|---|---|---|
| Sábado 23 de mayo | 18 908 | 8 468 |
| Domingo 24 de mayo | 18 380 | 9 131 |
| Total del fin de semana | 37 288 | 15 066 |
El total del fin de semana cuenta cada dirección IP una sola vez, por eso es menor que la suma de los dos días. El fin de semana no fue un pico. Del lunes 18 al viernes 22 de mayo, la red registró de media 20 616 informes al día, más que en cualquiera de los dos días del fin de semana. El tráfico de ataques no afloja cuando la oficina está cerrada.
¿Qué categorías de ataque dominaron el fin de semana?
Cada informe lleva una o varias de las 63 categorías de amenazas. Un informe puede llevar varias categorías, así que las filas de abajo se solapan:
| Categoría | Informes |
|---|---|
| Hacking | 23 019 |
| Brute-Force | 10 215 |
| SSH | 2 638 |
| Categorías de WordPress en conjunto | 1 255 |
| Fuerza bruta contra el login de WordPress | 1 174 |
El hilo común es adivinar contraseñas. MITRE lo cataloga como técnica T1110, y afecta por igual a SSH, al correo y a los logins de WordPress. Durante el fin de semana, cada IP atacante apareció de media en 1,18 categorías, y en total se vieron 20 categorías distintas. La mayoría de las direcciones se limitó a una sola tarea.
¿De dónde llegaron los informes de ataques?
27 210 informes procedían de los servidores honeypot de ReportedIP, máquinas señuelo que solo existen para ser atacadas. Los 10 078 restantes llegaron a través de las claves API de sitios miembros e integraciones de servidor. Si quieres aportar un sensor propio, la guía del servidor honeypot explica la instalación.
Por país de origen, destacaron cuatro países. El país sale de la geolocalización actual de cada dirección:
- Estados Unidos: 10 984 informes de 3 922 IP.
- India: 3 038 informes de 2 414 IP.
- Pakistán: 2 281 informes de 499 IP.
- Países Bajos: 2 009 informes de 320 IP.
Los Países Bajos llegaron a 6,3 informes por dirección IP y Pakistán a 4,6, frente a 2,5 en todo el fin de semana. Un grupo pequeño de direcciones en esos dos países volvió una y otra vez. Bloquear países enteros es una herramienta tosca, y bloquear las direcciones que vuelven es más preciso.
¿Qué significa un fin de semana así para un sitio WordPress?
Solo 1 255 de los 37 288 informes indicaban una categoría propia de WordPress. El resto venía de bots que sondean cualquier servicio abierto, y un sitio WordPress está en el mismo internet. Esos bots llegan tarde o temprano a la página de login, y la mayoría ya se ha denunciado en otro lugar.
Ahí ayuda la inteligencia de amenazas comunitaria. En cuanto un honeypot u otro sitio ha denunciado una dirección, un sitio con Hive en modo Community Network puede rechazarla antes del primer intento de contraseña. Cuando muchas direcciones atacan en paralelo, el Hardening Mode endurece los umbrales de login durante una hora.
¿Qué cambió en Hive en torno a ese fin de semana?
Tres versiones de Hive salieron esa misma semana:
- Hive 2.0.14 (20 de mayo): la lista de rutas señuelo pasó de 16 a 40 entradas. Una petición a uno de esos archivos cebo es una señal de ataque fuerte. Hive 2.1.67 incluye 45.
- Hive 2.0.15 (21 de mayo): los avisos de administración con varios destinatarios se entregan ahora a través del relé de correo gestionado, un correo por dirección.
- Hive 2.0.16 (27 de mayo): el Hardening Mode ya no se vuelve a activar solo tras caducar, y un backoff del relé pausa ahora el envío de correos y SMS para todo el sitio.
Preguntas frecuentes
¿Cuántos ataques registró ReportedIP el 23 y 24 de mayo de 2026?
La red de ReportedIP registró 37 288 informes de ataques procedentes de 15 066 direcciones IP distintas durante el fin de semana del 23 y 24 de mayo de 2026. El sábado trajo 18 908 informes y el domingo 18 380. Los servidores honeypot enviaron 27 210, y los sitios miembros e integraciones de servidor enviaron los otros 10 078 con sus claves API.
¿La mayoría de los ataques del fin de semana iban contra WordPress?
La mayoría de los ataques eran genéricos. Solo 1 255 de los 37 288 informes indicaban una categoría propia de WordPress, y 1 174 de ellos eran fuerza bruta contra el login. Los grupos más grandes fueron Hacking con 23 019 informes y Brute-Force con 10 215. Los mismos bots sondean cada servicio accesible, así que los sitios WordPress también reciben su parte.
¿Hive bloquea gratis a los atacantes denunciados?
Hive bloquea gratis a los atacantes denunciados en cuanto un sitio pasa al modo Community Network con una cuenta gratuita de ReportedIP. Los 16 sensores de detección y los métodos 2FA TOTP, passkey y correo electrónico también son gratuitos. El Hardening Mode contra ataques coordinados, la 2FA por SMS y los relés gestionados requieren el plan Professional.
Sigue leyendo
- Obtener Hive para WordPress: 16 sensores, cuatro métodos 2FA y bloqueo comunitario en un solo plugin.
- WordPress Attack Report: datos de ataques del 1 de mayo al 21 de julio de 2026, este fin de semana incluido.
- Todas las categorías de amenazas: las 63 categorías con sus niveles de gravedad.