É de se estranhar quando, ao entrar no site de um banco, de uma loja gigante ou de uma rede social, tudo o que aparece é um erro na tela. Nada carrega, nada responde. Em muitos casos, por trás dessa cena está um velho conhecido da segurança digital: o ataque DDoS.
A verdade é que ninguém que está na internet está 100% imune desse mal, de blogs pessoais a grandes corporações. E hoje você vai entender o porquê.
O que é um ataque DDoS, afinal?
DDoS vem de Distributed Denial of Service, ou “negação de serviço distribuída”. Traduzindo para o mundo material: imagine uma loja física em promoção absurda. Tanta gente tenta entrar ao mesmo tempo que forma um caos na porta. Empurra-empurra, fila travada, ninguém consegue comprar nada e a loja acaba fechando as portas.
Na internet, o ataque DDoS faz exatamente isso com um site ou serviço: um enxame de dispositivos envia requisições ao mesmo tempo, até que o servidor não consegue mais responder e cai.
Isso não é só “brincadeira de hacker entediado”. Ataques DDoS são crime e podem ter várias motivações, desde prejudicar financeiramente uma empresa, chantagear (ameaça de “pagar ou seu site fica fora do ar”), até desviar atenção de ataques ainda mais graves (como o roubo de dados ou injeção de código).
Botnets: o “exército zumbi” por trás do caos
Um dos jeitos mais comuns de montar um ataque DDoS é usando uma botnet. Botnet é uma rede de dispositivos infectados, como PC, servidor, roteador, câmera IP, celular, geladeira smart, tudo que tiver conexão com a internet, controlados à distância por criminosos. O usuário, na maioria das vezes, nem sonha que a máquina está fazendo parte de um ataque.
Funciona assim:
- Um malware é instalado silenciosamente em vários dispositivos;
- Esses dispositivos passam a obedecer comandos do atacante;
- Quando chega a hora do ataque, todos começam a bombardear o alvo com tráfego ao mesmo tempo.
É literalmente um exército zumbi digital marchando contra um site. Pra piorar, já existe até “DDoS como serviço”, onde donos de botnets alugam essa capacidade ofensiva para outros criminosos, que pagam para derrubar sites específicos sem precisar entender nada de técnica.
Tipos de ataques DDoS
DDoS não é tudo igual. Grosseiramente dá para dividir em três grandes categorias, cada uma atacando um ponto diferente da infraestrutura:
Ataques volumétricos
São os mais comuns. O foco é entupir a largura de banda do alvo com um volume gigantesco de dados. O tráfego até pode parecer legítimo à primeira vista, mas a quantidade é tão absurda que a conexão simplesmente não dá conta.
Ataques de protocolo
Aqui a ideia é explorar falhas e limitações em protocolos de comunicação (como TCP, UDP, ICMP). Em vez de encher o link, o atacante tenta consumir recursos de roteadores, firewalls e servidores explorando como esses protocolos funcionam.
Ataques de camada de aplicação
Nessa categoria, o alvo é o próprio serviço. São milhares (ou milhões) de requisições a páginas dinâmicas, APIs, buscas, carrinhos de compra, etc. Cada requisição exige processamento pesado, banco de dados, lógica de negócio… até que o servidor simplesmente não consegue mais responder.
O maior ataque DDoS já registrado
Pra ter ideia da escala que isso pode atingir, em maio de 2025 foi registrado o maior ataque DDoS já observado até hoje, com um pico de 7,3 terabits por segundo e cerca de 37,4 terabytes de dados maliciosos enviados em 45 segundos. É como jogar quase 10.000 filmes em HD contra uma infraestrutura em menos de um minuto.
Esse ataque usou múltiplos vetores ao mesmo tempo, e, ainda assim, provedores com estrutura massiva, como a própria Cloudflare, conseguiram mitigar o impacto e manter a internet de pé em muitos lugares.
Dá pra se proteger de DDoS?
Não existe proteção perfeita, mas existem várias camadas que, combinadas, aumentam muito as chances de sobrevivência.
Usar uma boa CDN
Uma CDN (Content Delivery Network) coloca seu site atrás de uma rede global de servidores. Isso traz duas vantagens:
- Distribui o tráfego entre vários pontos ao redor do mundo;
- Faz com que um ataque atinja primeiro a infraestrutura da CDN, não o seu servidor diretamente.
CDNs modernas detectam padrões de DDoS e ativam mecanismos automáticos de mitigação, como filtragem de IP, challenge (CAPTCHA / verificação), bloqueio de regiões e limitação de taxa.
Rate limiting: cortando o exagero na origem
Rate limiting é a prática de limitar quantas requisições um mesmo IP (ou usuário) pode fazer em um intervalo de tempo. Se um IP tenta fazer milhares de requisições em poucos segundos, o servidor ou proxy simplesmente corta o acesso. Isso ajuda a conter ataques simples e também abusos de APIs, logins e formulários.
Bem configurado, o rate limiting é um excelente “freio de mão” contra comportamentos anômalos.
WAF: firewall de aplicação web
O WAF (Web Application Firewall) fica na frente do seu site analisando o tráfego em nível de aplicação. Ele identifica assinaturas de ataque, bloqueia scripts suspeitos, filtra parâmetros maliciosos em URLs e formulários, além de ajudar a segurar ataques que tentam explorar vulnerabilidades específicas.
Em muitos cenários, o WAF é o que diferencia um ataque chato de uma invasão séria.
Infraestrutura robusta e bem planejada
A infraestrutura importa muito. Dentre os aspectos importantes a considerar, o balanceamento de carga distribui o tráfego entre vários servidores, a redundância geográfica garante que, se uma região for inundada de tráfego malicioso, outras ainda consigam responder usuários legítimos e o monitoramento em tempo real permite reagir rápido quando algo foge do normal.
É aqui que entra o papel de uma boa hospedagem.
Se a ideia é ter um site, blog ou e-commerce que não cai na primeira pancada, vale olhar com carinho pra infraestrutura de hospedagem. A Hostinger, que apoia esse conteúdo, oferece:
- Planos de hospedagem para desde quem está começando até projetos com milhares de acessos diários;
- Integração com CDN e camadas de proteção contra DDoS;
- Recursos de segurança como firewall, monitoramento e políticas de mitigação.
Ou seja: além de pensar em layout, conteúdo e desempenho, dá pra saber que existe uma estrutura preparada pra aguentar “porrada” quando o tráfego não é exatamente amigável. Confira os planos e use o cupom LABS pra garantir mais 10% de desconto.
E para quem está começando, a Hostinger tem um criador simplificado de sites. Quer saber mais? Veja nosso tutorial!