O que é ataque DDoS: tipos, sintomas e prevenção em 2026

⏱ 10 min de leitura

Se sua empresa depende de sistemas ou sites para operar, um ataque DDoS (Distributed Denial of Service) é cenário concreto, não hipotético. Sites fora do ar em horário comercial, clientes frustrados, prejuízos acumulando a cada minuto, equipe correndo para entender o que aconteceu. Em 2026, esses ataques estão mais frequentes e sofisticados, com recordes ultrapassando volumes que pareciam impossíveis há poucos anos. A boa notícia: existem formas estruturadas de se proteger. A má: confiar apenas em firewall tradicional ou na "boa fé" de não ser alvo é estratégia condenada.

O que é um ataque DDoS

Ataque DDoS Ataque DDoS (Distributed Denial of Service, ou negação de serviço distribuída) é uma tentativa coordenada de sobrecarregar servidores, redes ou aplicações com volume massivo de tráfego ou requisições maliciosas, originadas simultaneamente de múltiplas fontes distribuídas geograficamente, com o objetivo de tornar o serviço alvo indisponível para usuários legítimos.

Imagine milhares de pessoas tentando entrar em uma loja física ao mesmo tempo, sem intenção de comprar nada. O resultado: o local fica congestionado, ninguém se movimenta, o atendimento para. No mundo digital, isso acontece quando atacantes usam dispositivos infectados (computadores, servidores, câmeras IP, roteadores, dispositivos IoT) espalhados pelo mundo para enviar volume massivo de requisições falsas a um servidor. O tráfego artificial sobrecarrega os recursos, tornando o serviço lento, inacessível ou completamente fora do ar.

A palavra "distribuída" no nome destaca a característica que torna o ataque difícil de combater: ele vem de muitas fontes simultâneas, dificultando identificar e bloquear o tráfego malicioso de forma simples. O objetivo é claro: interromper operações, causar prejuízo financeiro e, em muitos casos, comprometer a reputação da empresa atacada.

Em 2026, a pergunta "minha empresa é alvo de DDoS?" foi substituída por "minha empresa está preparada quando for alvo?". O barateamento de DDoS-as-a-Service democratizou os ataques, qualquer concorrente desonesto, jogador frustrado ou adolescente com cartão de crédito pode contratar um.

Diferenças entre DoS e DDoS

Os dois termos parecem iguais, mas descrevem ataques de natureza e impacto bastante diferentes:

DoS (Denial of Service)

Ataque de negação de serviço originado de uma única fonte. Um atacante, um ou poucos endereços IP, um vetor de ataque. Mais fácil de identificar e bloquear: bastam regras de firewall que limitem requisições do IP ofensor. Impacto limitado, mais comum em ataques amadores ou pontuais.

DDoS (Distributed Denial of Service)

Ataque distribuído originado de múltiplas fontes simultâneas, frequentemente milhares ou milhões de dispositivos infectados que formam uma botnet. Cada dispositivo tem seu próprio IP de origem, dificultando bloqueios simples baseados em endereço. Volume e complexidade muito maiores. Bloquear sem afetar tráfego legítimo é o desafio técnico real.

A diferença prática: bloquear DoS é trabalho de minutos para qualquer time de segurança. Bloquear DDoS exige infraestrutura especializada, ferramentas de análise comportamental e capacidade de mitigação volumétrica que poucas empresas conseguem operar internamente.

Como funciona um ataque DDoS na prática

O fluxo básico de um DDoS moderno tem quatro etapas técnicas que o atacante orquestra:

1. Construção da botnet

Atacantes infectam dispositivos vulneráveis com malware (Mirai e variantes, dispositivos IoT com credenciais default, roteadores domésticos sem patches, servidores expostos). A rede de dispositivos comprometidos é a botnet, controlada remotamente por servidores de comando e controle (C2).

2. Reconhecimento do alvo

O atacante mapeia a infraestrutura do alvo: IPs públicos, capacidade de banda, presença de proteção, características da aplicação. Quanto mais detalhada a inteligência, mais cirúrgico o ataque.

3. Disparo coordenado

O servidor de C2 dispara comando para a botnet inteira. Milhares ou milhões de dispositivos enviam requisições simultaneamente ao alvo. Em ataques amplificados, o atacante usa terceiros (servidores DNS abertos, NTP, Memcached) para multiplicar o volume.

4. Sustentação ou múltiplas ondas

Ataques modernos frequentemente alternam entre vetores diferentes ao longo do tempo, dificultando a mitigação. Começam volumétricos, alternam para Layer 7, voltam para protocolo. Boa proteção precisa lidar com todas as variações em tempo real.

Tipos de ataque DDoS

Os ataques se dividem em três categorias principais conforme a camada do modelo OSI que exploram. Cada uma exige defesa diferente:

1. Ataques volumétricos (Layer 3 e 4)

Visam saturar a banda de internet do alvo com tráfego massivo. Como milhares de carros bloqueando todas as faixas de uma rodovia. Volumes medidos em Gbps ou Tbps. Exemplos: UDP Flood (envia pacotes UDP aleatórios para esgotar capacidade de processamento), ICMP Flood (Ping Flood), amplification attacks (DNS, NTP, Memcached, CLDAP) que usam servidores legítimos para multiplicar o volume.

2. Ataques de protocolo (Layer 4)

Exploram fraquezas em protocolos de comunicação para esgotar recursos do servidor (não banda). Exemplos: SYN Flood (abre milhares de conexões TCP que nunca completam, esgotando a tabela de conexões do servidor), Ping of Death (pacotes malformados), Smurf attack (variante amplificada). Volumes menores em bytes mas devastadores para recursos do servidor.

3. Ataques de aplicação (Layer 7)

Imitam tráfego legítimo no nível da aplicação web. São os mais difíceis de detectar porque cada requisição parece normal. Exemplos: HTTP Flood (requisições GET/POST que parecem usuários reais), Slowloris (mantém conexões abertas com pequenos pacotes lentos), HTTP/2 Rapid Reset (CVE-2023-44487, descoberto em 2023, gerou ataques recordes de 398 milhões de requisições por segundo). Volumes baixos em banda mas altíssimos em impacto operacional.

Em 2026, ataques sofisticados frequentemente combinam as três categorias em ondas alternadas, forçando o defensor a reagir em múltiplas frentes simultaneamente. Proteção robusta exige cobertura para os três tipos, não basta proteção volumétrica se a aplicação cai por Layer 7.

Os recordes que redefiniram o jogo

A evolução dos ataques DDoS nos últimos anos mostra escala que poucos imaginavam possível. Os marcos que importam:

• 2020 — AWS, 2,3 Tbps: recorde durante anos, atribuído a um ataque amplificado via servidores CLDAP. A AWS conseguiu mitigar com sua infraestrutura de Shield Advanced, mas reportou degradação visível para clientes.
• 2023 — HTTP/2 Rapid Reset (CVE-2023-44487): vulnerabilidade no protocolo HTTP/2 explorada para ataques Layer 7 com volumes de 398 milhões de requisições por segundo, em ataque coordenado contra Google, Cloudflare e AWS. Mudou o entendimento sobre o que ataques de aplicação podem alcançar.
• 2024 — Cloudflare, 5,6 Tbps: a Cloudflare reportou em outubro/novembro de 2024 a mitigação de um ataque de 5,6 Tbps direcionado a um cliente em setor de telecomunicações, originado por uma variante do botnet Mirai com aproximadamente 13.000 dispositivos IoT comprometidos. O ataque durou apenas 80 segundos.

Sintomas de um ataque em andamento

Identificar um ataque DDoS rapidamente é crucial para minimizar impacto. Os sinais mais comuns:

• Lentidão extrema no site ou aplicação: páginas que carregam normalmente passam a demorar muito mais, mesmo para tarefas simples.
• Indisponibilidade total ou intermitente: serviços que funcionavam param de responder ou caem repetidamente.
• Pico anormal de tráfego de rede: aumento súbito e sem explicação no volume de acessos, geralmente vindo de muitas localizações geográficas simultâneas.
• Erros HTTP específicos: "504 Gateway Timeout", "503 Service Unavailable" e "502 Bad Gateway" frequentemente indicam servidor sobrecarregado.
• Dificuldade de acesso de usuários legítimos: clientes ou colaboradores reportam problemas em massa para acessar sistemas que normalmente funcionam.
• Tráfego anômalo nos logs: aumento súbito em requisições de IPs desconhecidos, padrões de acesso incomuns, requisições para endpoints estranhos.
• Métricas de infraestrutura em vermelho: CPU, memória, conexões e banda no limite ou esgotadas.

Esses sintomas podem aparecer abruptamente (ataque em pico súbito) ou crescer ao longo de horas (ataque sustentado). Por isso, monitoramento contínuo do tráfego e desempenho dos sistemas é essencial: detectar nos primeiros minutos faz diferença entre incidente controlado e operação inteira fora do ar.

Como prevenir e mitigar ataques DDoS

Defesa real contra DDoS opera em camadas. Confiar em uma única peça é receita para falha. As camadas necessárias:

1. Mitigação volumétrica do provedor de infraestrutura

A linha de frente. Provedor sério oferece anti-DDoS volumétrico capaz de absorver dezenas a centenas de Gbps, com mitigação automática em segundos quando detecta padrão anômalo. Empresa pequena não consegue ter banda suficiente para se proteger sozinha, esta camada é responsabilidade do provedor.

2. WAF (Web Application Firewall)

Para ataques de Layer 7 (HTTP Flood, Slowloris, abuso de API), WAF é fundamental. Filtra tráfego com regras específicas, identifica padrões de ataque conhecidos, aplica desafios (CAPTCHA, prova de trabalho) quando detecta comportamento suspeito. Em 2026, WAFs modernos integram detecção comportamental com IA, reduzindo significativamente falsos positivos.

3. Firewall corporativo com regras anti-DDoS

Firewall tradicional não para DDoS volumétrico, mas configurado adequadamente bloqueia tráfego de IPs conhecidamente maliciosos, aplica rate limiting básico e filtra tipos de tráfego que não deveriam chegar à aplicação. Camada complementar, não solução isolada.

4. Redundância e balanceamento de carga

Distribuir tráfego entre múltiplos servidores ou data centers reduz o impacto de qualquer ponto único de falha. CDN global absorve picos de tráfego naturalmente, deixando menos para a infraestrutura de origem. Combinar redundância arquitetural com mitigação ativa é o que diferencia operação resiliente de operação frágil.

5. Segmentação de rede e zonas isoladas

Dividir a infraestrutura em zonas isoladas evita que um ataque a um serviço derrube outros. Microssegmentação permite que cada componente tenha apenas o acesso de rede estritamente necessário, reduzindo superfície de ataque.

6. Monitoramento contínuo e alertas em tempo real

Detectar nos primeiros minutos é meio caminho andado. Painéis de tráfego em tempo real, alertas configurados para anomalias (volume, padrões geográficos, taxa de erro), integração com SIEM e SOC. Detecção tardia transforma incidente gerenciável em downtime longo.

7. Plano de resposta documentado

Quem aciona quem? Qual é o canal de comunicação durante o incidente? Quem tem autoridade para implementar mitigação agressiva? Plano em papel testado periodicamente vale mais que planos brilhantes que ninguém leu. Empresas que sofrem DDoS com plano testado se recuperam em horas; sem plano, em dias.

Onde a EVEO entra na sua estratégia

Proteção anti-DDoS é peça crítica de uma arquitetura corporativa moderna, mas opera melhor quando integrada ao restante da defesa. A EVEO opera infraestrutura em nuvem privada e servidores dedicados em data centers brasileiros, com camadas de segurança que incluem mitigação anti-DDoS, firewall corporativo, WAF, monitoramento contínuo e backup imutável. Para entender a defesa em profundidade, vale ler também sobre estratégias de redundância de servidores.

Para empresas brasileiras com requisitos regulatórios fortes (financeiro, saúde, governo, jurídico), o modelo combina infraestrutura nacional, soberania de dado e arquitetura de segurança em camadas, simplificando conformidade com LGPD e reduzindo o risco jurisdicional de hyperscalers internacionais. Casos documentados em histórias de sucesso mostram operações que estruturaram defesa contra DDoS como parte do quadro maior, não como produto isolado.

No fim, DDoS deixou de ser ameaça abstrata para virar realidade operacional. Em 2026, com ataques na escala de Tbps e DDoS-as-a-Service barateando ataques, qualquer empresa exposta ao público está no radar. A diferença entre quem sobrevive bem e quem sofre incidente sério está na qualidade da preparação prévia: camadas de defesa, monitoramento, plano de resposta, parceiro técnico capaz. Quem trata o tema com seriedade no momento certo evita ser manchete depois.

Perguntas frequentes sobre ataques DDoS

Qual a diferença entre DoS e DDoS?

DoS (Denial of Service) é um ataque originado de uma única fonte, um atacante, poucos IPs, um vetor de ataque. Mais fácil de bloquear: regras de firewall que limitam o IP ofensor resolvem na maioria dos casos. DDoS (Distributed Denial of Service) é um ataque distribuído originado de milhares ou milhões de dispositivos simultâneos (uma botnet), cada um com seu IP único. Bloquear sem afetar tráfego legítimo exige infraestrutura especializada, ferramentas de análise comportamental e capacidade de mitigação volumétrica que poucas empresas conseguem operar internamente.

Quais são os principais tipos de ataque DDoS?

Os ataques se dividem em três categorias principais. Volumétricos (Layer 3 e 4) tentam saturar a banda do alvo com tráfego massivo: UDP Flood, ICMP Flood, amplification attacks via DNS, NTP ou Memcached. De protocolo (Layer 4) exploram fraquezas em protocolos de comunicação para esgotar recursos: SYN Flood é o mais clássico. De aplicação (Layer 7) imitam tráfego legítimo no nível da aplicação web, sendo os mais difíceis de detectar: HTTP Flood, Slowloris e exploração de vulnerabilidades como HTTP/2 Rapid Reset. Ataques sofisticados modernos combinam as três categorias em ondas alternadas, forçando defesa em múltiplas frentes simultaneamente.

Como saber se estou sofrendo um ataque DDoS?

Os sintomas mais comuns: lentidão extrema no site ou aplicação, indisponibilidade total ou intermitente, pico anormal de tráfego de rede vindo de muitas localizações, erros HTTP como 504 Gateway Timeout e 503 Service Unavailable, dificuldade de usuários legítimos acessarem o sistema, e métricas de infraestrutura (CPU, memória, conexões, banda) saturadas. Esses sintomas podem aparecer abruptamente ou crescer ao longo de horas. Para diferenciar de problemas operacionais comuns, vale verificar se há padrão geográfico anômalo no tráfego e padrões de requisição incomuns nos logs. Detectar nos primeiros minutos faz diferença entre incidente controlado e operação inteira fora do ar.

Empresa pequena precisa se preocupar com DDoS?

Sim, e mais do que antes. Em 2026, DDoS-as-a-Service (booters e stressers) tornou ataques baratos e acessíveis. Concorrentes desonestos, jogadores frustrados em games, ex-funcionários ressentidos ou simplesmente atacantes oportunistas podem contratar ataques por dezenas de dólares. Empresas pequenas e médias entraram no radar exatamente por terem proteção mais frágil. Para qualquer negócio com presença web (e-commerce, SaaS, sistema corporativo exposto), proteção anti-DDoS deixou de ser luxo e virou requisito básico. A boa notícia: provedores cloud sérios incluem proteção anti-DDoS no pacote, com SLA de mitigação contratual.

Firewall protege contra DDoS?

Parcialmente, e nem sempre da forma necessária. Firewall tradicional ajuda contra ataques de Layer 4 limitados (filtra IPs maliciosos conhecidos, aplica rate limiting básico, bloqueia tipos de tráfego inadequados), mas não consegue absorver ataques volumétricos modernos que medem dezenas a centenas de Gbps, a banda do firewall fica saturada antes de filtrar. Para ataques Layer 7 (HTTP Flood, Slowloris), firewall tradicional não tem visibilidade do conteúdo HTTP. Defesa real exige combinação: anti-DDoS volumétrico do provedor de infraestrutura para volumétrico, WAF para Layer 7, firewall corporativo para complemento, e monitoramento contínuo orquestrando tudo. Confiar apenas em firewall é a falha mais comum em empresas que sofrem DDoS bem-sucedido.