Operation PowerOFF: la ofensiva global que desmantela el negocio de los DDoS por encargo

En la última fase de la operación internacional conocida como Operation PowerOFF, las autoridades han enviado advertencias a más de 75.000 personas que habían recurrido a plataformas que alquilan potencia para lanzar ataques de denegación de servicio distribuido (DDoS). Esta intervención coordinada, apoyada por Europol, abarca a 21 países y combina acciones policiales, cierres técnicos de infraestructura y medidas de concienciación pública.

Durante la operación se registraron detenciones, órdenes de registro y la desconexión de una serie de dominios vinculados a estos servicios ilícitos: en concreto, las fuerzas del orden arrestaron a varias personas, emitieron decenas de órdenes judiciales y retiraron más de medio centenar de nombres de dominio que facilitaban ataques. Estas cifras responden a una estrategia que deja de ser únicamente reactiva para incorporar fases destinadas a disuadir y prevenir futuros abusos.

Detrás del negocio de los "booter" o "stresser" hay un esquema sencillo y peligroso: se venden ataques bajo demanda y se alquilan botnets —redes de dispositivos infectados, muchas veces routers y cámaras conectadas al Internet de las Cosas— para saturar y dejar fuera de servicio páginas web y servicios online. Los proveedores suelen escudarse bajo la excusa del “testeado de carga” o “stress testing”, pero la ausencia de controles sobre la titularidad del objetivo convierte esa oferta en una herramienta para actos ilícitos.

La operación no surge de la nada: se apoya en fases previas en las que las autoridades consiguieron localizar y confiscar bases de datos masivas con cuentas usadas para delinquir, lo que ahora permite tanto identificar a usuarios como dificultar la reactivación de esas plataformas. Europol ha señalado que, además de los golpes técnicos y judiciales, la campaña entra ahora en una etapa de prevención que emplea tácticas de comunicación y bloqueo de canales de reclutamiento.

Entre las medidas anunciadas están la colocación de anuncios en motores de búsqueda dirigidos a jóvenes que buscan herramientas para montar DDoS, la eliminación de cientos de direcciones web que promocionan estos servicios y la inserción de avisos en transacciones relacionadas con pagos ilícitos en cadenas de bloques. La idea es atacar los puntos de contacto: que la oferta deje de ser visible y que quienes estén tentados reciban información sobre los riesgos legales y técnicos antes de actuar.

Es importante entender qué implica un ataque DDoS: al inundar un servidor con tráfico malicioso, se interrumpe el acceso legítimo de usuarios y se puede provocar un daño económico y reputacional importante. Para quien opera un "booter" o quien encarga el ataque, además de la responsabilidad técnica, existen consecuencias legales crecientes a medida que las investigaciones internacionales se coordinan y comparten evidencia.

La cooperación global es clave en estos casos porque las infraestructuras y las víctimas suelen estar en distintas jurisdicciones. La última fase de PowerOFF incluyó a países de la Unión Europea y a otros como Australia, Tailandia, Estados Unidos, Reino Unido, Japón y Brasil, lo que refleja la naturaleza transfronteriza de la ciberdelincuencia. Solo mediante el intercambio rápido de inteligencia y la coordinación de actuaciones se pueden desactivar redes criminales que operan a escala mundial.

Si te interesa profundizar en cómo funcionan estos ataques y por qué son tan difíciles de combatir desde un punto de vista técnico, existen explicaciones claras y divulgativas en fuentes especializadas. Por ejemplo, servicios de protección en la nube y equipos de respuesta a incidentes describen cómo el tráfico malicioso sobrecarga recursos y cómo mitigar esos vectores; un buen resumen técnico está disponible en la documentación de proveedores de seguridad como Cloudflare. Para el contexto regulatorio y de respuesta europea, la labor de Europol y de equipos nacionales de respuesta a incidentes se puede seguir en sus comunicaciones oficiales, como la citada nota de prensa de Europol.

Además de las sanciones penales, hay un coste práctico para los usuarios: participar en estos servicios puede implicar la exposición de datos personales, el uso de cuentas y medios de pago rastreables y la pérdida de acceso a plataformas. Las campañas de la fase preventiva buscan precisamente hacer visible ese riesgo y ofrecer alternativas legales: si una empresa necesita evaluar la resistencia de sus sistemas, existen proveedores y procedimientos autorizados de pruebas de carga que requieren permisos explícitos y una metodología profesional.

Para las víctimas y operadores de infraestructuras críticas, la recomendación es reforzar medidas de defensa y preparar planes de respuesta. El intercambio de información entre operadores, el uso de servicios anti-DDoS y la segmentación de redes son prácticas que reducen el impacto. Las autoridades y los proveedores de servicios de Internet también pueden aplicar bloqueos y filtrado para neutralizar ataques en ruta.

Operation PowerOFF demuestra que la presión combinada —técnica, legal y comunicativa— puede debilitar el mercado de los DDoS por encargo. No obstante, la amenaza no desaparece: las botnets se reciclan, los operadores cambian de plataforma y los usuarios que buscan atajos siguen existiendo. Por eso, la estrategia perseguida ahora combina golpes puntuales con educación y reducción de la visibilidad comercial de estos servicios.

Si alguien está considerando usar una plataforma de este tipo o ha recibido una advertencia, conviene tomarla en serio: además de las implicaciones éticas, las legales pueden incluir desde cargos por daños informáticos hasta confiscación de equipos. Para más información sobre la investigación y las acciones recientes, puede consultarse la nota oficial de Europol y la cobertura de medios especializados que han seguido el desarrollo de Operation PowerOFF, por ejemplo en Europol y en análisis periodísticos técnicos como el publicado por BleepingComputer.

En definitiva, se trata de una lección en dos direcciones: la soberanía digital exige respuesta coordinada frente a quien comercializa ciberarmas, y al mismo tiempo pide una ciudadanía informada que entienda que las “pruebas” sin permiso no son inocuas. La tecnología puede protegernos o ser usada para atacar; la diferencia la marcan las normas, la vigilancia y la responsabilidad de cada actor.