DDoS em Nova Roupa: Como Mudou o Cenário de Ameaças no Primeiro Trimestre de 2026

DDoS em Nova Roupa: Como Mudou o Cenário de Ameaças no Primeiro Trimestre de 2026

No final de 2025, observamos um aumento significativo no número de "ataques de amplificação" e "ataques de fragmentação". Parecia que os atacantes haviam esgotado os recursos de botnets e decidiram compensar isso usando dispositivos não infectados. No entanto, no primeiro trimestre de 2026, o cenário mudou drasticamente. Houve um aumento substancial no número de ataques utilizando TCP e UDP. As proporções de TCP ACK e TCP SYN tornaram-se aproximadamente iguais, e a proporção de TCP SYN/ACK também aumentou. Tudo isso indica o crescimento das estruturas de botnet e sua aplicação em massa em ataques a serviços.

Efeito Déjà Vu, ou Quando os Gráficos Parecem Familiares Novamente

Um ano atrás, o perfil dos ataques parecia bastante direto. Uma parte significativa era ocupada pelas técnicas TCP ACK (cerca de 42%). No quarto trimestre de 2025, a tática mudou: os atacantes mudaram para técnicas nas quais podem usar dispositivos não infectados — DNS amplification e IP fragmentation. Esses métodos permitem mascarar a atividade de criminosos específicos, pois, na verdade, o serviço é atacado por dispositivos de usuários comuns. Ao mesmo tempo, os próprios ataques não têm nenhum sinal característico, e as equipes de segurança da informação (SI) precisam resolver problemas para separar a atividade de ataque e a atividade legítima dos mesmos dispositivos. Além disso, essas técnicas permitem contornar com bastante eficácia filtros geográficos simples.

Por Que o Vetor Mudou?

Em 2025, uma parte significativa das vulnerabilidades detectadas (mais de 30%) estava relacionada a equipamentos de rede, o que criou sérias pré-condições para o crescimento de dispositivos infectados. A proporção de dispositivos IoT e móveis infectados também está aumentando. Tendo acumulado um volume suficiente de dispositivos e canais de transmissão de dados controlados, os criminosos conseguiram intensificar os ataques nos protocolos TCP e UDP, de modo que, em seu contexto, o volume de "ataques de amplificação" e "ataques de fragmentação" começou a parecer "escasso". Deve-se entender que o crescimento das proporções de TCP e UDP não é exatamente um "retrocesso" para um período semelhante de 2025. Os ataques não se tornaram mais simples — na verdade, os atacantes conseguiram aumentar drasticamente a base de dispositivos botnet. Os ataques DDoS se transformaram em um serviço SaaS completo. Como resultado, os criminosos receberam uma base material estável.

Além disso, as empresas estão achando cada vez mais difícil e caro comprar dispositivos e plataformas de alto desempenho que são usados para proteção contra DDoS. Os consumidores geralmente preferem comprar dispositivos mais baratos de fabricantes duvidosos, o que, pelo contrário, expande as oportunidades para os atacantes.

Setores-Alvo: Estabilidade Externa Aparente

A nível setorial, o quadro, à primeira vista, parece mais calmo. No entanto, essa estabilidade externa é enganosa. É claro que não há distorções tão acentuadas quanto na distribuição das técnicas aqui. As proporções de ataques a telecomunicações e ao setor público, após os valores de pico do final de 2025, retornaram ao nível registrado anteriormente. Mas os representantes desses segmentos ainda permanecem "nos favoritos" dos criminosos. E é muito cedo para falar sobre a perda de interesse.

O que mudou? Na maior parte, as mudanças dizem respeito ao setor industrial. No primeiro trimestre de 2026, a proporção de ataques a ele aumentou drasticamente, atingindo 19%. É difícil explicar tal salto por flutuações aleatórias. As indústrias estão se digitalizando rapidamente, a superfície de ataque está se expandindo e a proteção nem sempre acompanha. Como resultado, há uma lacuna entre como a infraestrutura é construída e para quais cargas ela está preparada. Essa "gargalo" é explorado pelos atacantes. Ao mesmo tempo, o interesse por varejo e transporte aumentou, mas a proporção de ataques a TI continua caindo constantemente. Em busca do "elo fraco", os atacantes estão gradualmente se movendo para segmentos onde o nível de maturidade da proteção é menor.

Por Que a Mudança de Perfil de DDoS Significa um Novo Desafio para a SI

Em cenários com ataques de amplification e fragmentation, a precisão da filtragem e a capacidade de reconhecer corretamente anomalias desempenharam um papel fundamental. No entanto, com a predominância de ataques TCP e UDP, a resiliência da infraestrutura volta a ser o foco principal. Não basta apenas detectar um ataque e classificá-lo — é necessário garantir que o sistema possa continuar funcionando sob carga. Nos ataques por TCP/UDP, é conveniente esconder impactos mais direcionados nos serviços. Podem surgir problemas aqui: algumas soluções lidam bem com cenários complexos, mas curtos, mas são menos eficazes sob pressão volumétrica prolongada.

Nessas condições, a questão não é tanto quais técnicas os atacantes usam, mas por quanto tempo a infraestrutura é capaz de suportá-las. E para muitos sistemas, essa é uma tarefa mais difícil do que o reconhecimento correto, mesmo de ataques bastante sofisticados.

O Que Isso Muda na Abordagem da Proteção

Toda a dinâmica que observamos mostra que os ataques não estão mais se desenvolvendo em um modelo linear "do simples ao complexo". Em vez disso, estamos lidando com um processo cíclico: a proteção se adapta a ataques complexos, após o que os criminosos retornam novamente a técnicas mais simples, mas já em uma configuração diferente. Ao mesmo tempo, os próprios ataques não se tornam mais simples, no sentido usual. O que ontem parecia obsoleto, hoje está novamente no auge. O principal desafio hoje não é a "simplicidade" formal das ferramentas usadas, mas a flexibilidade e a variabilidade da proteção. É interessante como isso se parece na sua prática: a principal carga agora está relacionada a tentativas de contornar a filtragem ou à necessidade de simplesmente suportar o crescente volume de tráfego?