Al estudiar los datos de mayo de 2025 a febrero de 2026, vimos aproximadamente un triple aumento en los ataques dirigidos a redes francesas<\/strong> y un aumento distintivo en los ataques originados desde infraestructura francesa<\/strong> en diciembre de 2025. Las firmas de malware son coherentes con la actividad de botnets de la familia Mirai. <\/p>\n\n En conjunto, los datos indicaron una presi\u00f3n sostenida y creciente sobre la infraestructura orientada a Francia, en consonancia con observaciones m\u00e1s amplias del sector sobre el aumento de la actividad impulsada por botnets<\/a> durante este periodo. Estas evaluaciones externas no constituyen una confirmaci\u00f3n directa de la actividad observada en la telemetr\u00eda de AIDE. <\/p>\n\n Este art\u00edculo incluye datos y gr\u00e1ficos que ilustran los patrones clave observados en la telemetr\u00eda de AIDE, destacando las tendencias en el volumen de ataques, la distribuci\u00f3n de la infraestructura y la persistencia de la actividad dirigida a los sensores ubicados en Francia.<\/p>\n\n La ciberactividad que afecta a las entidades francesas ha sido documentada por las autoridades francesas y por informes externos de ciberseguridad, incluidas las evaluaciones de la ANSSI sobre objetivos vinculados a estados<\/a> e informes p\u00fablicos sobre ataques disruptivos que afectan a la infraestructura francesa<\/a>.<\/p>\n\n Los informes p\u00fablicos desde 2024 hasta principios de 2026 reflejan dos tendencias distintas: intrusiones dirigidas que afectan a las redes gubernamentales e institucionales francesas<\/a>, y una actividad m\u00e1s amplia de botnets de gran volumen o DDoS<\/a> que afecta a la infraestructura orientada a Francia.<\/p>\n\n Otros informes del sector tambi\u00e9n han documentado el uso continuado de malware de la familia Mirai<\/a> en campa\u00f1as de escaneo a gran escala, explotaci\u00f3n y DDoS, lo que proporciona un contexto \u00fatil para interpretar la actividad de ataques distribuidos observada en la telemetr\u00eda.<\/p>\n\n El an\u00e1lisis de la telemetr\u00eda de AIDE mostr\u00f3 dos patrones distintos relacionados con Francia.<\/p>\n\n En primer lugar, los ataques dirigidos a los sensores de AIDE situados en Francia aumentaron desde los niveles base de 400.000\u2013500.000 eventos mensuales (mayo\u2013agosto de 2025) a m\u00e1s de 1,3 millones en febrero de 2026, lo que representa un aumento de aproximadamente 3 veces<\/strong>, con una tendencia de crecimiento constante durante el periodo de estudio. Un peque\u00f1o conjunto de IPs muestra una actividad sostenida, dirigi\u00e9ndose repetidamente a los sensores situados en Francia durante varios meses consecutivos, lo que indica una infraestructura persistente<\/strong> en lugar de eventos aislados. <\/p>\n\n En segundo lugar, los ataques originados en la infraestructura francesa y observados por los sensores de AIDE en otros lugares mostraron un aumento distintivo<\/strong> en diciembre de 2025, alcanzando un m\u00e1ximo de m\u00e1s de 1,3 millones de impactos antes de disminuir en los meses siguientes.<\/p>\n\n Las firmas de malware son coherentes con la actividad de botnets de la familia Mirai<\/strong>, incluyendo variantes vinculadas a campa\u00f1as distribuidas a gran escala (por ejemplo, LZRD, SORA y cepas relacionadas).<\/p>\n\n Desde la perspectiva de la infraestructura, el tr\u00e1fico de ataques dirigido a los sensores situados en Francia se distribuye ampliamente entre redes residenciales y de acceso<\/strong> (cable\/DSL\/ISP en aproximadamente un 30 %) y proveedores de servicios de red (NSP) (aproximadamente un 18 %), con un gran segmento no atribuido (aproximadamente un 37 %). Sin embargo, los vol\u00famenes m\u00e1ximos de ataque suelen estar impulsados por un conjunto m\u00e1s peque\u00f1o de proveedores de alojamiento<\/strong>, lo que indica una distinci\u00f3n entre la actividad distribuida y las fuentes concentradas de alta intensidad. <\/p>\n\n Los gr\u00e1ficos siguientes ilustran los patrones clave que vimos en la telemetr\u00eda de AIDE, destacando las tendencias en el volumen de ataques, la distribuci\u00f3n de la infraestructura y la persistencia de la actividad dirigida a los sensores situados en Francia.<\/p>\n\n El volumen mensual de ataques aument\u00f3 de 400.000\u2013500.000 a m\u00e1s de 1,3 millones en febrero de 2026, mostrando una tendencia ascendente constante que alcanz\u00f3 su punto m\u00e1ximo en febrero. Este crecimiento est\u00e1 impulsado principalmente por tr\u00e1fico no deseado (ataques). <\/p>\n\n La actividad originada en la infraestructura francesa muestra un pico distintivo en diciembre de 2025, alcanzando m\u00e1s de 1,3 millones de impactos antes de caer bruscamente en enero. A diferencia de la tendencia ascendente sostenida observada en los ataques dirigidos a los sensores situados en Francia, este patr\u00f3n es de corta duraci\u00f3n y concentrado, lo que indica una r\u00e1faga de actividad de gran volumen desde las redes francesas en lugar de un crecimiento persistente. En algunos casos, estos picos de salida pueden reflejar dispositivos comprometidos o infectados dentro de infraestructuras m\u00e1s d\u00e9biles o expuestas que se utilizan como fuentes de tr\u00e1fico de ataques. <\/p>\n\n El tr\u00e1fico de ataques dirigido a Francia se concentra en un peque\u00f1o n\u00famero de centros de infraestructura. Solo Pa\u00edses Bajos representa el 33,5 % de la actividad, mientras que Vietnam y Alemania aportan un 29 % adicional combinado; por su parte, la propia Francia representa solo el 1,5 % del tr\u00e1fico entrante. <\/p>\n\n Los ataques est\u00e1n ampliamente distribuidos en las redes ISP y NSP, pero la actividad de gran volumen se concentra en un conjunto m\u00e1s peque\u00f1o de infraestructuras de alojamiento.<\/p>\n\n Un peque\u00f1o conjunto de IPs se dirige repetidamente a los sensores situados en Francia durante varios meses consecutivos, lo que indica una infraestructura persistente en lugar de una actividad puntual. Esta presencia sostenida es coherente con operaciones coordinadas de botnets que mantienen el acceso y ejecutan ataques de forma continua a lo largo del tiempo. <\/p>\n\n El an\u00e1lisis de la carga \u00fatil y el enriquecimiento de VirusTotal confirman que la actividad observada es coherente con las operaciones de botnets de la familia Mirai. Se identificaron m\u00faltiples variantes de Mirai, incluyendo LZRD, Cult, SORA y cepas relacionadas, en todas las sesiones de ataque. Las etiquetas de detecci\u00f3n se corresponden sistem\u00e1ticamente con comportamientos conocidos de Mirai, como el escaneo automatizado, los descargadores de carga \u00fatil y el reclutamiento de botnets habilitados para DDoS, lo que refuerza que la actividad representa campa\u00f1as de botnets coordinadas a gran escala. <\/p>\n\n Las etiquetas de detecci\u00f3n representativas incluyen: <\/p>\n\n Los datos de AIDE dejan claro que el aumento de la actividad dirigida a Francia es real, medible y est\u00e1 alineado con tendencias m\u00e1s amplias impulsadas por botnets. En lugar de reflejar un problema aislado en una sola red o entidad, destaca hasta qu\u00e9 punto la infraestructura de Internet est\u00e1 interconectada y es interdependiente. <\/p>\n\n Debido a que estas redes independientes est\u00e1n tan estrechamente vinculadas, las debilidades en los entornos de alojamiento, los dispositivos perif\u00e9ricos y las redes de acceso pueden explotarse f\u00e1cilmente a escala y generar un tr\u00e1fico de ataques de gran volumen que afecte a gobiernos, empresas, individuos y econom\u00edas enteras.<\/p>\n\n Detener estas oleadas de intrusiones antes de que se intensifiquen requiere una acci\u00f3n coordinada en todo el ecosistema. Reforzar las pr\u00e1cticas b\u00e1sicas de seguridad, mejorar la visibilidad del abuso de la infraestructura en sus primeras etapas y profundizar la colaboraci\u00f3n entre los operadores de red ser\u00e1 fundamental para limitar la escala y el impacto en el mundo real de la actividad de las botnets distribuidas. <\/p>\n\n Operado por la Global Cyber Alliance, AIDE ayuda a sacar a la luz estos ataques monitorizando el tr\u00e1fico de red global, detectando amenazas potenciales y ofreciendo informaci\u00f3n \u00fatil para mejorar la seguridad de la red. Lee m\u00e1s sobre AIDE y c\u00f3mo encaja en el trabajo de GCA aqu\u00ed<\/a>. Para acceder a nuestra telemetr\u00eda o explorar oportunidades de colaboraci\u00f3n, por favor cont\u00e1ctanos mediante el formulario del sitio web de AIDE<\/a>. <\/p>\n\n Informe APT28 de la ANSSI:<\/strong> https:\/\/www.cert.ssi.gouv.fr\/uploads\/CERTFR-2025-CTI-007.pdf<\/a><\/p>\n\n Intrusiones en el Ministerio del Interior:<\/strong> https:\/\/www.bleepingcomputer.com\/news\/security\/france-interior-ministry-confirms-cyberattack-on-email-servers\/<\/a><\/p>\n\n Ataques DDoS a La Poste:<\/strong> https:\/\/techcrunch.com\/2025\/12\/23\/frances-postal-and-banking-services-disrupted-by-suspected-ddos-attack\/<\/a> y https:\/\/www.lemonde.fr\/en\/france\/article\/2025\/12\/22\/suspected-cyberattack-disrupts-france-s-postal-service_6748757_7.html<\/a><\/p>\n\nInformes externos y corroboraci\u00f3n de ataques<\/h2>\n\n
Qu\u00e9 vemos en los datos de AIDE<\/h2>\n\n
1. Crecimiento sostenido en los objetivos de los sensores situados en Francia<\/h2>\n\n
![\"El](\"https:\/\/globalcyberalliance.org\/wp-content\/uploads\/2026\/04\/France-AIDE-Data-Figure-1.png\")
<\/figure>\n\n2. Francia como fuente: actividad de ataques salientes<\/h2>\n\n
![\"La](\"https:\/\/globalcyberalliance.org\/wp-content\/uploads\/2026\/04\/France-AIDE-Data-Figure-2-1024x567.png\")
<\/figure>\n\n3. Distribuci\u00f3n geogr\u00e1fica de la infraestructura de ataque dirigida a los sensores de AIDE en Francia<\/h2>\n\n
![\"Principales](\"https:\/\/globalcyberalliance.org\/wp-content\/uploads\/2026\/04\/France-AIDE-Data-Figure-3.png\")
<\/figure>\n\n4. Tipos de infraestructura<\/h2>\n\n
![\"Dos](\"https:\/\/globalcyberalliance.org\/wp-content\/uploads\/2026\/04\/France-AIDE-Data-Figure-4-1024x544.png\")
<\/figure>\n\n5. Infraestructura persistente dirigida a los sensores de Francia<\/h2>\n\n
![\"IPs](\"https:\/\/globalcyberalliance.org\/wp-content\/uploads\/2026\/04\/France-AIDE-Data-Figure-5.png\")
<\/figure>\n\n6. Actividad tipo Mirai observada mediante an\u00e1lisis de carga \u00fatil<\/h2>\n\n
\n
Qu\u00e9 significa esto<\/h2>\n\n
Referencias<\/h2>\n\n