Operation PowerOFF: a ofensiva global que desmantela o negócio dos DDoS por encomenda

Na última fase da operação internacional conhecida como Operation PowerOFF, as autoridades enviaram advertências para mais de 75.000 pessoas que recorreram a plataformas que alugam poder para lançar ataques de recusa de serviço distribuído (DDoS). Esta intervenção coordenada, apoiada por Europol, abrange 21 países e combina acções policiais, encerramentos técnicos de infra-estruturas e medidas de sensibilização pública.

Durante a operação registaram-se detenções, ordens de registro e desconexão de uma série de domínios ligados a esses serviços ilícitos: em particular, as forças da ordem prenderam várias pessoas, emitiram dezenas de ordens judiciais e retiraram mais de meio centena de nomes de domínio que facilitavam ataques. Estes números respondem a uma estratégia que deixa de ser apenas reativa para incorporar fases destinadas a dissuadir e prevenir futuros abusos.

Por trás do negócio dos "booter" ou "stresser" há um esquema simples e perigoso: são vendidos ataques sob demanda e alugados botnets — redes de dispositivos infectados, muitas vezes roteadores e câmeras ligadas à Internet das Coisas — para saturar e deixar fora de serviço páginas web e serviços online. Os fornecedores costumam ficar sob a desculpa do “teste de carga” ou “stress testing”, mas a ausência de controles sobre a titularidade do objetivo converte essa oferta em uma ferramenta para atos ilícitos.

A operação não surge do nada: apoia-se em fases anteriores em que as autoridades conseguiram localizar e confiscar bases de dados massivas com contas usadas para delinquir, o que agora permite tanto identificar usuários como dificultar a reativação dessas plataformas. A Europol salientou que, para além dos golpes técnicos e judiciais, a campanha entra agora numa fase de prevenção que emprega tácticas de comunicação e bloqueio de canais de recrutamento.

Entre as medidas anunciadas estão a colocação de anúncios em motores de busca direcionados a jovens que buscam ferramentas para montar DDoS, a eliminação de centenas de endereços web que promovem esses serviços e a inserção de avisos em transações relacionadas a pagamentos ilícitos em cadeias de blocos. A ideia é atacar os pontos de contacto: que a oferta deixe de ser visível e que aqueles que estão tentados recebam informações sobre os riscos legais e técnicos antes de agir.

É importante entender o que implica um ataque DDoS: ao inundar um servidor com tráfego malicioso, o acesso legítimo de usuários é interrompido e pode causar danos econômicos e reputacionais importantes. Para quem opera um "booter" ou quem encarrega o ataque, além da responsabilidade técnica, existem consequências legais crescentes à medida que as pesquisas internacionais se coordenam e compartilham evidências.

A cooperação global é fundamental nestes casos porque as infra-estruturas e as vítimas são muitas vezes em diferentes jurisdições. A última fase da PowerOFF incluiu países da União Europeia e outros como a Austrália, a Tailândia, os Estados Unidos, o Reino Unido, o Japão e o Brasil, refletindo a natureza transfronteiriça da ciberdelinquência. Só através do intercâmbio rápido de inteligência e da coordenação de acções podem ser desactivadas redes criminosas que operam a nível mundial.

Se te interessa aprofundar em como estes ataques funcionam e porque são tão difíceis de combater de um ponto de vista técnico, existem explicações claras e divulgativas em fontes especializadas. Por exemplo, serviços de proteção em nuvem e equipamentos de resposta a incidentes descrevem como o tráfego malicioso sobrecarrega recursos e como mitigar esses vetores; um bom resumo técnico está disponível na documentação de provedores de segurança como Cloudflare. Para o contexto regulamentar e de resposta europeia, o trabalho da Europol e das equipas nacionais de resposta a incidentes pode ser seguido nas suas comunicações oficiais, como o referido comunicado de imprensa. Europol.

Além das sanções penais, há um custo prático para os usuários: participar nesses serviços pode implicar a exposição de dados pessoais, o uso de contas e meios de pagamento rastreáveis e a perda de acesso a plataformas. As campanhas de fase preventiva buscam precisamente tornar visível esse risco e oferecer alternativas legais: se uma empresa precisa avaliar a resistência dos seus sistemas, existem fornecedores e procedimentos autorizados de testes de carga que requerem permissões explícitas e metodologia profissional.

Para as vítimas e operadores de infra-estruturas críticas, a recomendação é reforçar medidas de defesa e preparar planos de resposta. O intercâmbio de informações entre operadores, o uso de serviços anti-DDoS e a segmentação de redes são práticas que reduzem o impacto. As autoridades e os prestadores de serviços da Internet também podem aplicar bloqueios e filtros para neutralizar ataques em rota.

Operation PowerOFF demonstra que a pressão combinada —técnica, legal e comunicativa — pode enfraquecer o mercado dos DDoS por encomenda. No entanto, a ameaça não desaparece: as botnets são recicladas, os operadores mudam de plataforma e os usuários que procuram atalhos continuam existindo. Por isso, a estratégia perseguida agora combina golpes pontuais com educação e redução da visibilidade comercial desses serviços.

Se alguém está a considerar usar uma plataforma deste tipo ou tiver recebido um aviso, deve tomá-la a sério: além das implicações éticas, as leis podem incluir desde acusações por danos cibernéticos até confiscar equipamentos. Para mais informações sobre a investigação e as acções recentes, consultar a nota oficial da Europol e a cobertura de meios especializados que acompanharam o desenvolvimento da Operation PowerOFF, por exemplo, em Europol e em análise jornalística técnica como o publicado por BleepingComputer.

Em suma, trata-se de uma lição em dois endereços: a soberania digital exige resposta coordenada contra quem comercializa ciberarmas, e ao mesmo tempo pede uma cidadania informada que entenda que as “testes” sem permissão não são inócuas. A tecnologia pode nos proteger ou ser usada para atacar; a diferença marca as normas, a vigilância e a responsabilidade de cada ator.