Ataque DDoS: o que é, como funciona e como se proteger

Um ataque DDoS (negação de serviço distribuída) tenta tirar um site, um servidor ou uma conexão do ar inundando o endereço IP do alvo com mais tráfego do que ele consegue processar, a partir de milhares ou milhões de aparelhos ao mesmo tempo. Ele não invade nem rouba dados: o objetivo é deixar o serviço indisponível para quem tenta usá-lo de verdade.

Neste guia você vai entender como o ataque funciona, por que o IP é o alvo, quais foram os maiores ataques já registrados até 2026, como saber se a sua conexão está sendo atacada e o que fazer, além do que diz a lei brasileira. Para ver qual IP a sua conexão expõe agora, use a ferramenta Meu IP detalhado.

O que é um ataque DDoS

DDoS vem do inglês Distributed Denial of Service. A ideia é esgotar algum recurso do alvo: a largura de banda do link, a capacidade de processar pacotes de um roteador ou firewall, ou a capacidade de um servidor web de responder a requisições. Quando o recurso acaba, o tráfego legítimo não passa e o serviço fica lento ou fora do ar.

A diferença para um ataque DoS está no “distribuído”. No DoS, uma única máquina ataca, e bloquear o IP dela costuma resolver. No DDoS, o tráfego vem de milhares de endereços diferentes, muitas vezes de aparelhos comuns infectados, o que torna o bloqueio por IP inútil e exige filtragem em grande escala.

Como um ataque DDoS funciona

Por que o endereço IP é o alvo

Na internet, todo tráfego é endereçado a um IP. Sem saber o endereço do alvo, o atacante não tem para onde mandar os pacotes. Por isso a primeira linha de defesa de sites e jogos é não expor o IP real dos servidores, e a de pessoas comuns é não entregar o próprio IP a quem pode querer usá-lo. O artigo o que alguém pode fazer com seu IP mostra os outros usos possíveis desse número.

Os IPs chegam aos atacantes por alguns caminhos conhecidos:

• Registros DNS de sites: o domínio aponta para um IP. Se você administra um site, consulte no DNS Lookup quais endereços o seu domínio e os seus subdomínios expõem. Ao colocar o site atrás de uma CDN, troque o IP de origem, libere no firewall do servidor apenas os endereços da CDN e não deixe subdomínios apontando direto para ele.
• Links rastreadores: a forma mais comum de capturar o IP de uma pessoa é enviar um link que registra quem o abre.
• Conexões ponto a ponto: chamadas de voz e vídeo diretas, alguns jogos com lobbies P2P e servidores mantidos por jogadores revelam os IPs dos participantes. Jogos com servidores dedicados, como CS2, Valorant e League of Legends, conectam você aos servidores da empresa, não aos adversários.

Quer saber a quem pertence um IP que aparece nos seus registros? A consulta Whois mostra o provedor e o sistema autônomo (ASN) responsáveis pelo bloco de endereços.

Os principais tipos de ataque DDoS

Os ataques volumétricos são medidos em bits por segundo (Gbps, Tbps). Os de protocolo, em pacotes por segundo. Os de aplicação, em requisições por segundo (rps), e são os mais difíceis de filtrar, porque cada requisição parece uma visita normal. Na prática, muitos ataques combinam vários tipos ao mesmo tempo.

Reflexão e amplificação

Uma técnica volumétrica comum é a reflexão: o atacante envia consultas pequenas a servidores mal configurados (DNS abertos, NTP, memcached), forjando o IP da vítima como remetente. Os servidores respondem à vítima com respostas muito maiores do que as perguntas. A agência americana CISA publica o fator de amplificação de cada protocolo:

Botnets: os aparelhos que fazem o ataque

Uma botnet é um conjunto de aparelhos infectados e controlados à distância, sem que os donos percebam. Eles continuam funcionando normalmente e, quando recebem o comando, passam a disparar tráfego.

• Mirai (2016): chegou a um pico de cerca de 600 mil infecções, principalmente câmeras, gravadores e roteadores com senha de fábrica. Em 21 de outubro de 2016, atacou o provedor de DNS Dyn e deixou serviços como Twitter, Spotify, Reddit e Netflix inacessíveis para muitos usuários. O código foi publicado e deu origem a dezenas de variantes.
• Aisuru e Aisuru-Kimwolf (2025): segundo a Cloudflare, a botnet reúne entre 1 e 4 milhões de aparelhos infectados, principalmente TVs com Android. A Aisuru fez o ataque recorde de 29,7 Tbps no terceiro trimestre de 2025, e a Aisuru-Kimwolf promoveu em dezembro uma campanha com picos de 24 Tbps e 205 milhões de requisições por segundo.

O Brasil aparece com destaque nessas estatísticas. No primeiro semestre de 2026, o país passou os Estados Unidos e se tornou a principal origem do tráfego de ataques DDoS (medido em requisições) mitigados pela Cloudflare, com 14,9% do total, contra 13,4% dos EUA; só no segundo trimestre, foram 21,4%. Isso não significa que os brasileiros atacam mais, e sim que há muitos aparelhos e servidores comprometidos em redes brasileiras.

Também existem os chamados serviços de “stresser” ou “booter”, que alugam ataques. Segundo a Europol, eles baixaram a barreira de entrada no crime: por valores a partir de 10 euros, qualquer pessoa consegue disparar um ataque. Esses serviços são alvo frequente da polícia; na Operação Power Off, autoridades de vários países derrubaram cerca de cinquenta deles e prenderam administradores.

Os maiores ataques DDoS da história

Os recordes precisam ser comparados na mesma unidade. Ataques volumétricos são medidos em terabits por segundo (Tbps); ataques à camada de aplicação, em milhões de requisições por segundo (Mrps).

Em fevereiro de 2023, a Cloudflare registrou 71 milhões de requisições por segundo. Meses depois, em agosto, uma nova técnica chamada HTTP/2 Rapid Reset (CVE-2023-44487) levou os ataques a outro patamar: a Cloudflare mediu pouco mais de 201 milhões de rps, e o Google, 398 milhões. O Google divulgou o caso em outubro de 2023 e comparou: em dois minutos, o ataque gerou mais requisições do que o total de visualizações de artigos da Wikipédia em setembro daquele ano.

Como sites e empresas se protegem

• CDN e proxy reverso: o domínio aponta para a rede da CDN, que absorve o ataque e repassa só o tráfego legítimo. Para ter ideia da escala, a Cloudflare informa ter data centers em mais de 330 cidades e mais de 500 Tbps de capacidade.
• Anycast: o mesmo IP é anunciado a partir de muitos locais, e o tráfego do ataque se divide entre eles.
• Centros de limpeza (scrubbing): o tráfego passa por equipamentos que descartam os pacotes maliciosos antes de chegar ao cliente.
• Limite de requisições e WAF: limitam quantas requisições cada origem faz e bloqueiam padrões de ataque na camada de aplicação. Entenda o papel de cada um em o que é firewall.
• Ocultar o IP de origem: sem ele, o atacante não consegue contornar a CDN.
• Plano com o provedor: operadoras podem filtrar o tráfego ou descartar o destinado a um IP específico (blackhole) para proteger o restante da rede. O CERT.br publica recomendações para provedores, empresas e usuários reduzirem esse tipo de ataque.

Como saber se você está sofrendo um DDoS

Pessoas comuns também são alvo, principalmente quem joga online ou faz lives e se envolve em discussões. Alguns sinais ajudam a diferenciar um ataque de uma falha comum:

• a internet cai ou o ping dispara sempre em momentos específicos, como no meio de uma partida ou logo depois de você abrir um link de alguém;
• todos os aparelhos da casa perdem a conexão ao mesmo tempo, mas o roteador e a ONT continuam com as luzes normais;
• o painel do roteador mostra tráfego de entrada muito alto sem que ninguém esteja baixando nada;
• tudo volta ao normal de repente, minutos depois.

Se a luz LOS da ONT está vermelha ou a falha atinge o bairro inteiro, o problema é físico ou do provedor; veja o que significa a luz LOS vermelha. Para registrar a instabilidade, meça a latência no Teste de ping e a velocidade no Teste de velocidade.

O que fazer

1. Anote os horários das quedas e guarde capturas de tela de ameaças ou mensagens suspeitas.
2. Ligue para o provedor e informe que suspeita de ataque. Ele consegue ver o tráfego, filtrar e trocar o seu IP. Um roteador doméstico não segura um ataque volumétrico, porque o link fica lotado antes de o tráfego chegar a ele.
3. Troque o IP. Desligue a ONT ou o roteador por um tempo maior (em fibra, às vezes são necessárias horas) e confira na ferramenta Meu IP se o endereço mudou. O guia como mudar seu IP explica todas as opções. Se você está atrás de CGNAT, confirme com o Teste de CGNAT: nesse caso o endereço é compartilhado e o provedor é quem precisa agir.
4. Corte a origem do vazamento. Não abra links de quem está atacando, ative a proteção de IP nas chamadas do WhatsApp e evite chamadas ponto a ponto com desconhecidos.
5. Use uma VPN para jogar enquanto o problema durar. O novo IP que os outros verão será o do servidor da VPN. Veja como escolher e testar em como esconder e proteger seu IP.
6. Registre ocorrência se houver ameaça ou ataques repetidos, na delegacia especializada em crimes cibernéticos ou na delegacia online do seu estado.

Conclusão

O DDoS não rouba dados, mas pode deixar qualquer serviço fora do ar, e sempre depende de um endereço IP como alvo. A escala cresceu muito: de 1,35 Tbps em 2018 para 31,4 Tbps no fim de 2025 nos ataques volumétricos, e de 71 para 398 milhões de requisições por segundo em 2023 nos ataques à camada de aplicação. Para sites, a defesa passa por CDN, Anycast e IP de origem escondido. Para pessoas comuns, o caminho é não entregar o IP, manter os aparelhos atualizados para não virarem parte de uma botnet e, se o ataque acontecer, acionar o provedor e trocar o endereço.