O segundo semestre de 2025 marcou uma inflexão qualitativa no cenário global de ataques de negação de serviço distribuídos (DDoS). É o que revela a 16ª edição do Relatório de Inteligência de Ameaças da Netscout, baseada na telemetria da plataforma ATLAS, que monitorou 8.088.463 ataques em 203 países e territórios entre julho e dezembro.
CONTEÚDO RELACIONADO – DDoS e extorsão ainda pressionam ISPs: 27% dos provedores relatam ataques em 2024
Embora o volume total tenha se mantido relativamente estável em relação ao primeiro semestre, o relatório destaca uma mudança estrutural na sofisticação das ofensivas, na capacidade das infraestruturas maliciosas e na maturidade operacional dos agentes de ameaça. Ataques demonstrativos atingiram picos de até 30 terabits por segundo (Tbps) e 4 gigapacotes por segundo (Gpps), elevando o patamar de capacidade já observada na internet.
Apresentando o estudo à imprensa, Geraldo Guazzelli, diretor-geral da empresa no Brasil, destaca que o relatório aponta menos de uma escalada quantitativa e mais de uma transformação no perfil das ofensivas, agora marcadas por coordenação em hiperescala, automação inteligente e colaboração entre grupos.
Multivetores e ataques mais curtos e intensos
Globalmente, 42,06% dos ataques registrados utilizaram entre dois e cinco vetores simultâneos, enquanto apenas 48,76% foram de vetor único — sinal de que a complexidade moderada tornou-se padrão. Técnicas combinando DNS amplification, TCP floods (ACK, SYN, RST), SSDP, SNMP e CLDAP foram recorrentes, pressionando simultaneamente largura de banda e estados de conexão.
Outro dado relevante é o avanço dos chamados carpet-bombing attacks, que passaram de cerca de 750 ocorrências diárias no início do período para aproximadamente 830 por dia no fim de 2025, ampliando o impacto sobre múltiplos alvos dentro de uma mesma faixa de IP.
Para Richard Hummel, diretor de inteligência de ameaças da NETSCOUT, as defesas tradicionais já não acompanham esse novo cenário. “A implementação de defesas automatizadas e proativas se tornou um mandato de gestão de risco em nível de negócios, não apenas uma preocupação técnica”, afirma no relatório.
IoT comprometido e risco para operadoras
Um dos pontos centrais do estudo é o papel das botnets derivadas do Mirai, classificadas como TurboMirai, incluindo variantes como Aisuru e Eleven11. Essas redes exploram vulnerabilidades antigas e recentes em roteadores, câmeras IP e equipamentos CPE (Customer Premises Equipment), muitos ainda com credenciais padrão ou sem atualização de firmware.
O relatório aponta que ataques diretos (direct-path), sem spoofing de IP, geraram tráfego de saída superior a 1 Tbps a partir de dispositivos comprometidos em redes de banda larga. Isso cria um novo tipo de exposição: além de vítimas, operadoras passam a ser vetores involuntários de ataque, com riscos operacionais, regulatórios e reputacionais.
Em alguns casos, o tráfego malicioso causou falhas em line cards e impactos sobre assinantes não envolvidos, especialmente em ambientes móveis e redes fixas sem fio, onde componentes de core e recursos de NAT foram pressionados.
Infraestrutura crítica sob pressão contínua
Serviços essenciais da internet permaneceram sob ataque constante. Pelo menos 38 eventos significativos tiveram como alvo servidores raiz do DNS em 2025, incluindo um pico de 21 Gbps contra o A-root em agosto. Apesar disso, a arquitetura anycast e a capacidade distribuída mantiveram a disponibilidade do sistema.
Já o protocolo NTP (Network Time Protocol) esteve presente em mais de 45 mil alertas de DDoS no período, explorando tanto reflexão/amplificação quanto sistemas mal configurados. Embora o número de servidores vulneráveis tenha caído para a casa dos milhares, eles seguem ativos na geração de tráfego malicioso.
IA acelera democratização do DDoS
A integração de inteligência artificial ao ecossistema de DDoS-for-hire é apontada como divisor de águas. Plataformas clandestinas passaram a incorporar assistentes conversacionais capazes de receber comandos em linguagem natural – como “derrubar este site durante o horário comercial na Europa” – e traduzir isso automaticamente em campanhas multivetoriais.
O monitoramento da NETSCOUT identificou aumento de 219% nas menções a ferramentas maliciosas baseadas em IA em fóruns underground, além de crescimento de 52% nas discussões sobre técnicas de jailbreak. O uso de grandes modelos de linguagem (LLMs) na dark web reduz drasticamente o tempo entre divulgação de vulnerabilidades e sua exploração em larga escala.
Na prática, barreiras técnicas praticamente desapareceram: agentes com pouca ou nenhuma experiência conseguem lançar ataques sofisticados, ampliando o universo de ameaças.
América Latina supera 1 milhão de ataques; Brasil concentra 46%
Regionalmente, a EMEA liderou com 3,33 milhões de ataques no semestre, seguida por APAC (1,9 milhão), América do Norte (1,27 milhão) e América Latina, com 1.014.148 ocorrências.
O Brasil respondeu por 470.677 ataques no período – quase metade do total latino-americano – mantendo-se como principal alvo da região. Os vetores mais frequentes no país foram TCP (134.320 ataques), DNS Amplification (98.558), TCP RST (76.980), STUN Amplification (65.936) e TCP SYN/ACK Amplification (65.915).
Entre os setores mais visados no Brasil, empresas de telecomunicações sem fio (exceto satélite) lideraram com 114.797 ataques, seguidas por infraestruturas de computação e hospedagem, além de organizações de governo, serviços financeiros e transporte.
Além de alvo prioritário, o país também passa a figurar como vetor relevante no ecossistema global de DDoS, dado o volume de dispositivos IoT e equipamentos de borda vulneráveis conectados às redes locais.
Mudança estrutural no risco digital
O relatório conclui que o segundo semestre de 2025 não representa apenas uma evolução incremental das ameaças, mas uma mudança estrutural em três dimensões: quem pode lançar ataques sofisticados, a velocidade de adaptação às defesas e o impacto máximo demonstrado.
Com ataques cada vez mais curtos, intensos e multivetoriais, a exigência por visibilidade em tempo real, mitigação automatizada e inteligência de ameaças integrada deixa de ser diferencial tecnológico e passa a compor a base da gestão de risco corporativo – especialmente em setores críticos e altamente digitalizados como telecomunicações, finanças e infraestrutura.
Participe das comunidades IPNews no Instagram, Facebook, LinkedIn
