A ofensiva da Europol contra DDoS mira os clientes, não apenas os operadores

Europol desloca a pressão para os compradores de DDoS

As autoridades policiais europeias abriram uma nova fase em sua campanha contra operações de negação de serviço distribuído por encomenda ao ir além das derrubadas de infraestrutura e contatar diretamente os supostos clientes. Em uma ação coordenada anunciada pela Europol, as autoridades disseram ter enviado e-mails e cartas de alerta a mais de 75.000 pessoas suspeitas de pagar por serviços usados para derrubar sites do ar.

A operação, conduzida sob o nome PowerOFF, também incluiu quatro prisões, 53 apreensões de domínios e 24 mandados de busca. A escala importa por si só, mas o método pode ser o sinal mais importante. Em vez de focar apenas nas pessoas que operam os chamados serviços booter ou stresser, os investigadores agora estão usando dados de servidores apreendidos para identificar os usuários registrados por trás desses ataques.

Isso torna a mais recente ofensiva de aplicação da lei mais do que uma operação de limpeza. Ela também é uma campanha de dissuasão voltada para o lado da demanda da economia de DDoS, onde as baixas barreiras de entrada há muito ajudam a manter esses serviços vivos.

Por que os serviços de DDoS por encomenda continuam difíceis de eliminar

Os ataques DDoS não são novos, mas continuam atraentes porque são relativamente fáceis de lançar e frequentemente muito disruptivos. Um cliente não precisa de habilidades avançadas de intrusão, de sua própria infraestrutura de botnet ou de profundo conhecimento técnico. Por uma taxa, um serviço pode oferecer a capacidade de inundar um alvo com tráfego e sobrecarregar os sistemas até que um site, aplicativo ou serviço online fique indisponível.

Essa conveniência ajudou a manter o mercado resiliente mesmo com as repetidas ações das autoridades contra os operadores. A Europol disse que a ação mais recente foi possível porque as autoridades invadiram e apreenderam servidores ligados aos serviços, dando aos investigadores acesso a registros que poderiam ser usados para identificar usuários. Essa evidência do lado do servidor foi o que permitiu o esforço de comunicação incomumente grande com os clientes suspeitos.

A tática reflete uma verdade prática na aplicação da lei cibernética: a infraestrutura pode ser reconstruída, os domínios podem ser substituídos e os operadores podem reaparecer sob novas marcas. Mas, se a base de clientes começar a ver essas plataformas como inseguras, o modelo de negócios se torna mais difícil de sustentar.

Uma mensagem pensada para aumentar o custo do abuso casual

Os avisos diretos parecem voltados para um segmento importante do mercado de DDoS por encomenda: pessoas que talvez não se vejam como cibercriminosas no sentido convencional. Esses serviços têm sido frequentemente usados em campanhas de assédio, retaliação, disputas ligadas a jogos e disrupção de baixa sofisticação. Seu apelo sempre dependeu, em parte, da distância. O comprador clica, paga e trata o resultado como se fosse uma travessura terceirizada, e não uma infração rastreável.

A medida da Europol foi desenhada para corroer essa distância percebida. Ao contatar os supostos usuários individualmente, as autoridades estão, na prática, dizendo que uma apreensão da plataforma não expõe apenas os operadores. Ela também pode expor os clientes.

Isso importa porque o efeito dissuasório pode ir além das 75.000 pessoas contatadas. O público mais amplo é qualquer um tentado a usar um serviço comercial de DDoS porque ele parece fácil, anônimo e de baixo risco. A operação sugere que essas suposições estão cada vez mais desatualizadas.

O pano de fundo mais amplo da cibersegurança

A ação de aplicação da lei ocorre em meio ao crescimento contínuo da escala dos incidentes de DDoS. O anúncio da Europol citou uma categoria de ameaça que continua comum porque pode causar disrupção imediata com relativamente pouco esforço. A pressão sobre os defensores continuou a aumentar. No ano passado, a Cloudflare disse ter mitigado o que descreveu como o maior ataque DDoS já registrado, com pico de 29,7 terabits por segundo.

Esse número ressalta a natureza dividida do cenário de DDoS. De um lado estão os ataques enormes, envolvendo enchentes de tráfego em escala industrial. Do outro, serviços comercializados que tornam a capacidade de ataque acessível a clientes muito menos sofisticados. Estes últimos nem sempre geram volumes recordes, mas ampliam o grupo de pessoas capazes de transformar disrupção em arma.

Para organizações que defendem infraestrutura voltada ao público, isso significa que a ameaça não se limita a atores de elite. Ela também inclui um mercado de massa viabilizado por serviços de ataque baratos e empacotados.

Parte de uma campanha mais longa

PowerOFF não é uma ação isolada. O FBI e outras agências realizaram várias operações contra serviços de DDoS por encomenda nos últimos anos, e o mais recente anúncio da Europol se encaixa nesse padrão de pressão transfronteiriça contínua. O desafio recorrente é que essas plataformas ficam na interseção entre hospedagem commodity, canais de pagamento, domínios descartáveis e uma base de clientes que pode estar distribuída globalmente.

É por isso que a coordenação internacional continua essencial. Um serviço pode ser administrado em um país, hospedado em outro, promovido por domínios registrados em outro lugar e usado por clientes em dezenas de jurisdições. Uma resposta fragmentada deixa muitas lacunas. A ação mais recente mostra as autoridades continuando a fechar essas brechas por meio de investigações conjuntas e derrubadas sincronizadas.

O que a operação muda

O desfecho mais notável talvez não seja o número de prisões ou a quantidade de domínios apreendidos, embora ambos sejam significativos. Pode ser o precedente da notificação em larga escala. Apreender infraestrutura é disruptivo. Avisar usuários identificados é, ao mesmo tempo, uma medida psicológica, legal e estratégica.

• Ela diz aos supostos compradores que sua atividade talvez já seja conhecida pelas autoridades.
• Aumenta o risco reputacional e jurídico de usar esses serviços no futuro.
• Indica que as investigações estão se expandindo dos operadores de plataformas para ecossistemas inteiros.

Resta saber se isso reduzirá materialmente a demanda. Os mercados de cibercrime têm histórico de adaptação. Mas a operação mostra que as autoridades também estão se adaptando, usando inteligência obtida nas apreensões não apenas para processar organizadores, mas para minar a confiança dos clientes que mantém o mercado funcionando.

Para empresas, instituições e plataformas online que continuam enfrentando enxurradas de tráfego disruptivo, essa mudança merece atenção. A luta contra o abuso de DDoS já não é apenas sobre tirar serviços do ar. Cada vez mais, trata-se de convencer potenciais clientes de que encomendar um ataque não é nem privado nem isento de consequências.

Este artigo é baseado na cobertura da TechCrunch. Leia o artigo original.