Ataques DDoS: como funciona a ameaça e como proteger a disponibilidade da sua organização

O recorde que dura menos de um minuto

Em dezembro de 2025, a Cloudflare mitigou o maior ataque de negação de serviço distribuída (DDoS) já registrado publicamente: 31,4 terabits por segundo, sustentado por apenas 35 segundos. O recorde anterior, de 3,8 Tbps, datava de outubro de 2024, o que significa um crescimento de mais de 700% em pouco mais de um ano. Esse tipo de escalada não é um evento isolado, é o novo patamar operacional de uma ameaça que já se tornou parte do ruído de fundo da internet.

A Cloudflare mitigou 47,1 milhões de ataques DDoS ao longo de 2025, mais que o dobro do total registrado em 2024, uma média de 5.376 ataques bloqueados por hora. A Radware relata que seus clientes enfrentam, em média, 139 tentativas de ataque por dia. Esses números confirmam que DDoS deixou de ser um evento excepcional para se tornar uma condição operacional constante, exigindo que toda organização com presença digital relevante trate mitigação de DDoS como infraestrutura básica, não como resposta emergencial.

Como um botnet de dispositivos domésticos gera terabits de tráfego

A maioria dos ataques recordes de 2025 e 2026 tem origem no botnet Aisuru, estimado entre 1 e 4 milhões de dispositivos comprometidos, majoritariamente Android TVs e outros dispositivos IoT de consumo com segurança fraca por padrão. Esse tipo de botnet ilustra um problema estrutural: a proliferação de dispositivos conectados com credenciais padrão e sem atualização automática de segurança criou um exército de máquinas disponível para qualquer operador de DDoS capaz de comprometê-las em massa.

Um ataque associado a esse botnet, ocorrido em outubro de 2025 contra um único cliente da Microsoft Azure na Austrália, atingiu 15,72 terabits por segundo, com 3,64 bilhões de pacotes por segundo originados de mais de 500 mil endereços IP distintos. Para dimensionar o volume: o ataque recorde de dezembro de 2025 sustentou picos de 205 milhões de requisições por segundo, um volume comparável à população combinada de Reino Unido, Alemanha e Espanha enviando uma requisição simultânea em um único segundo.

Ataques curtos e automatizados: o novo padrão de evasão

Diferentemente da imagem popular de um ataque DDoS prolongado por horas, o padrão dominante em 2025 é o oposto: 89% dos ataques de camada de rede duram menos de dez minutos, e a duração média de um ataque DDoS caiu de 39 minutos para 20 minutos entre 2024 e 2025. Ataques hiper-volumétricos, que excedem 1 terabit por segundo, chegam a durar apenas 35 a 45 segundos, tempo insuficiente para qualquer intervenção manual de um analista de segurança.

Essa brevidade é estratégica: ataques curtos testam defesas, evitam análise aprofundada em tempo real e frequentemente servem como cortina de fumaça para outras atividades maliciosas simultâneas, incluindo tentativas de exfiltração de dados ou exploração de vulnerabilidades enquanto a equipe de segurança está distraída respondendo à indisponibilidade. Isso torna a mitigação automatizada, sem depender de intervenção humana em tempo real, um requisito técnico, não um diferencial competitivo entre fornecedores.

Setores mais visados e o custo real da indisponibilidade

Telecomunicações e educação concentraram, cada um, 24% de todos os ataques DDoS registrados em 2025, segundo a Zayo, seguidos por jogos e serviços financeiros, com 19% cada. O setor de tecnologia dominou os ataques de camada de rede, com 45% do volume observado pela Cloudflare, enquanto o setor público viu sua participação como alvo crescer de 5% para 12% no mesmo período, refletindo o uso crescente de DDoS como ferramenta de disrupção geopolítica.

O custo de cada minuto de indisponibilidade causada por DDoS é estimado em 22 mil dólares, segundo a MazeBolt. Pequenas e médias empresas gastam em média 120 mil dólares para se recuperar de um ataque, enquanto grandes empresas frequentemente ultrapassam 1 milhão de dólares em perdas totais. Em contraste, um serviço de DDoS sob demanda pode ser contratado no mercado clandestino por apenas 38 dólares por hora, uma desproporção de custo entre atacante e defensor de aproximadamente 1 para 3.000.

Construindo resiliência contra um ataque que não pode ser negociado

Diferentemente do ransomware, não existe negociação possível com um ataque DDoS, apenas capacidade de absorção e mitigação. Quatro elementos concentram a maior parte da proteção eficaz:

• Contratar mitigação DDoS totalmente automatizada, na borda da rede, com capacidade comprovada de resposta em segundos, não em minutos, dado que a maioria dos ataques recordes dura menos de um minuto.
• Distribuir infraestrutura crítica entre múltiplas regiões e provedores, reduzindo o impacto de um ataque volumétrico concentrado contra um único ponto de entrada.
• Monitorar continuamente padrões de tráfego anômalo, tratando picos súbitos como possível cortina de fumaça para outras atividades maliciosas simultâneas, não apenas como evento isolado de indisponibilidade.
• Testar regularmente os planos de resposta a incidentes de disponibilidade, incluindo comunicação com clientes e stakeholders durante uma indisponibilidade prolongada, já que ataques de repetição atingem mais de 70% das organizações já visadas uma vez.

Disponibilidade é segurança, não apenas infraestrutura

A escalada de volume dos ataques DDoS nos últimos dois anos, impulsionada por botnets de IoT cada vez maiores e mais baratos de operar, tornou obsoleta qualquer estratégia de mitigação que dependa de intervenção humana em tempo real. Quando o ataque recorde do ano dura 35 segundos, a defesa precisa estar automatizada antes mesmo de o primeiro pacote malicioso chegar.

Tratar disponibilidade como pilar de segurança, e não apenas como responsabilidade de infraestrutura, é a mudança de mentalidade que separa organizações resilientes das que descobrem, no meio de um ataque de minutos, que sua capacidade de resposta nunca foi realmente testada.