Extorsão com ataque DDoS: causas, diagnóstico e quando chamar um Especialista
Extorsão com ataque DDoS: o atacante ameaça derrubar a rede do provedor se não receber dinheiro, quase sempre em criptomoeda e com prazo curto. Não pague, guarde a mensagem, registre a ocorrência e use o prazo para combinar a contenção com a operadora, porque pagar não garante que o ataque pare.
Resumo
- Pagar não compra proteção e coloca o provedor na lista de alvos que já pagaram uma vez.
- Mensagem com IPs corretos e ataque de demonstração indicam que o atacante tem capacidade real de derrubar o link.
- O prazo dado é a janela para deixar pronta a community de blackhole com cada operadora de trânsito.
- Boletim de ocorrência e aviso ao CERT.br registram a ameaça e ajudam a medir se ela é campanha em massa.
Como funciona a extorsão com ataque DDoS
O atacante manda uma mensagem pedindo pagamento e ameaça lotar o link do provedor se não receber até um prazo. Muitas vezes, antes ou logo depois da mensagem, ele faz um ataque curto para provar que consegue.
A extorsão com ataque DDoS é um crime de pressão: o atacante vende a promessa de não atacar, e a moeda dele é o medo de ver a base inteira sem internet num horário de movimento. A mensagem chega por e-mail, formulário do site, WhatsApp comercial ou até pelo contato de abuso publicado no registro do sistema autônomo.
O ataque prometido costuma ser volumétrico. Em vez de invadir equipamentos, ele enche o link de trânsito com tráfego vindo de muitas origens, e o roteador de borda não tem o que filtrar quando o tubo já chega cheio. Por isso a defesa útil acontece antes do seu equipamento, na operadora, e precisa estar combinada antes do prazo.
A mitigação emergencial de DDoS organiza essa contenção e fica pronta para agir se o ataque vier. Se a rede já está fora do ar, peça atendimento de emergência para a sua rede e deixe a avaliação da mensagem para depois.
O ataque de demonstração
O ataque de demonstração é curto, de poucos minutos, e serve para dar credibilidade à ameaça. Ele costuma mirar um IP da borda, um servidor DNS ou um bloco usado pelo CGNAT, onde a queda aparece para muitos assinantes de uma vez.
Guarde os gráficos desse momento: horário de início e fim, interface afetada, volume de entrada e o IP que recebeu o tráfego. Esses dados mostram o tamanho do que o atacante consegue mandar e qual é o ponto mais exposto da rede.
Por que o pedido vem em criptomoeda
O pagamento em criptomoeda dificulta o rastreio e não depende de conta bancária no Brasil. Por isso o endereço da carteira é uma das provas mais importantes da mensagem.
Copie o endereço completo, sem abreviar, e anote o valor pedido e a moeda. Mesmo que o caso não avance na polícia, o mesmo endereço aparece em outras denúncias e ajuda a ligar a sua ameaça a uma campanha maior.
A ameaça é real ou é golpe em massa?
Mensagem com dados corretos da sua rede e ataque de demonstração indicam capacidade real. Mensagem genérica, sem IP e sem teste, costuma ser disparo em massa para ver quem se assusta e paga.
Antes de responder ou apagar qualquer coisa, compare o que a mensagem diz com o que os gráficos mostram. A tabela abaixo ajuda a separar a ameaça séria da tentativa de golpe.
| O que você vê | O que indica | Peso na avaliação |
|---|---|---|
| Nome do provedor, ASN e IPs corretos na mensagem | O atacante estudou a rede antes de escrever | Alto |
| Ataque curto antes ou logo depois da mensagem | Capacidade real de lotar o link | Alto |
| Prazo curto e valor que sobe a cada dia | Pressão para pagar sem consultar ninguém | Médio |
| Mensagem genérica, sem nenhum dado da rede | Disparo em massa para muitos provedores | Baixo |
| Nome de grupo conhecido sem nenhum teste | Uso de fama alheia para assustar | Baixo a médio |
Nem toda queda depois da ameaça é ataque
Uma rede que cai no dia seguinte à mensagem pode ter outro defeito, como CGNAT travando jogos ou PPPoE caindo para todos os clientes. Confira o tráfego de entrada antes de culpar o atacante.
Por que escolheram o seu provedor
O atacante procura alvos que pareçam frágeis e que percam muito com a queda. Os motivos abaixo estão na ordem em que mais aparecem em provedor regional.
- Ataques anteriores sem defesa: o provedor já caiu antes e demorou a voltar, o que fica visível para quem observa.
- Uma única saída para a internet: um só link de trânsito cheio derruba todos os assinantes ao mesmo tempo.
- Borda fácil de achar: IPs do roteador, do DNS e da gerência respondendo a qualquer um na internet.
- Época de pico: fim de ano, grandes eventos e datas em que a queda custa mais em cancelamento.
- Pagamento anterior: quem já pagou uma vez entra na lista de alvos que cedem à pressão.
Extorsão com ataque DDoS: o que fazer antes do prazo
Use o prazo do atacante para juntar provas, registrar a ameaça e deixar a contenção combinada com cada operadora. A ordem abaixo começa pelo que não pode se perder e termina com a defesa testada.
- Guarde a mensagem: salve o texto completo, o remetente, os cabeçalhos do e-mail, a carteira e os horários.
- Registre a ocorrência: faça boletim de ocorrência e envie a notificação ao CERT.br com a mensagem anexada.
- Ligue para a operadora: pergunte como acionar o descarte de tráfego e quem atende o NOC fora do horário comercial.
- Prepare o descarte: deixe pronta a configuração que anuncia o IP atacado com a community de blackhole.
- Esconda a borda: feche a gerência para fora e limite o que responde na internet.
- Combine o plano: escreva quem decide, quem fala com a operadora e o que o atendimento diz aos assinantes.
Faça isso mesmo que a mensagem pareça golpe. O trabalho de preparação serve para qualquer ataque futuro, com ou sem pedido de dinheiro, e custa menos do que descobrir no meio da queda que ninguém sabe o telefone do NOC.
O prazo do atacante está correndo?
Um Especialista avalia a ameaça, deixa a contenção combinada com as suas operadoras e acompanha a borda no dia prometido.
Guardar as provas e registrar a ameaça
A mensagem original é a principal prova do crime, e apagá-la atrapalha tanto a polícia quanto a avaliação do risco. Exporte o e-mail com os cabeçalhos completos ou faça capturas de tela com data e número de origem.
Extorsão é crime previsto no Código Penal [CONFIRMAR na norma], e o boletim de ocorrência pode ser feito numa delegacia especializada em crimes cibernéticos, onde houver. O aviso ao CERT.br não substitui a polícia, mas ajuda a ligar o seu caso a outras ameaças parecidas.
Preparar o blackhole com a operadora
O blackhole descarta na operadora todo o tráfego destinado a um IP, antes que ele chegue ao seu link. É o recurso que salva o resto da base quando o ataque é maior que a sua capacidade.
O pedido é feito por BGP: o roteador de borda anuncia o IP atacado marcado com uma community que a operadora reconhece. A RFC 7999 define uma community padrão para isso, mas cada operadora pode usar a sua; confirme a de cada uma por escrito e teste antes do prazo. O guia de configuração de RTBH mostra a montagem passo a passo.
Fechar a gerência e reduzir o que aparece
Equipamento que responde a qualquer um na internet vira alvo fácil para quem está estudando a rede. Feche o acesso de gerência para fora e deixe só os IPs da equipe e do NOC.
Confira também se não há serviço aberto sem necessidade, como DNS recursivo para a internet inteira ou NTP respondendo a qualquer origem. Além de expor a borda, esses serviços podem ser usados contra outras redes no mesmo tipo de ataque.
Ataque DDoS com extorsão: o que fazer se ele começar?
Meça primeiro, contenha no ponto certo e comunique os assinantes enquanto o tráfego é descartado. Reiniciar a borda não para o ataque e apaga os contadores que mostram o alvo.
1 · Medir
Achar o alvo e o tamanho
Pelo NetFlow ou pelos contadores da borda, veja qual IP recebe o tráfego, o protocolo e o volume.
2 · Conter
Descartar ou filtrar
Ataque maior que o link vai para o blackhole na operadora; ataque menor e com padrão claro pode ser filtrado na borda.
3 · Comunicar
Avisar quem atende
O atendimento recebe um texto único sobre a instabilidade, sem citar extorsão nem valores.
4 · Registrar
Guardar a linha do tempo
Horários, alvos, volumes e decisões vão para o boletim de ocorrência e para o relatório interno.
O ataque costuma vir em ondas, mudando de alvo quando o primeiro IP é descartado. Mantenha alguém olhando o tráfego até ele parar de vez.
O guia sobre ataque DDoS no provedor detalha como ler o tráfego durante o ataque e como separar amplificação de inundação de pacotes pequenos.
Exemplo: ameaça seguida de ataque contra o pool do CGNAT
Um caso típico ajuda a ver a ordem das decisões. O provedor recebe a mensagem numa segunda-feira, com prazo até sexta, e na terça sofre dez minutos de ataque contra um endereço do pool do CGNAT.
- Segunda: a equipe guarda a mensagem, faz o boletim e confirma com as duas operadoras a community de blackhole.
- Terça: o ataque de demonstração mostra que o alvo é um IP público usado por centenas de assinantes ao mesmo tempo.
- Quarta: a borda é revisada, a gerência é fechada para fora e um texto pronto é entregue ao atendimento.
- Sexta: o ataque vem maior; o IP do pool é descartado na operadora e os assinantes dele migram para outro endereço.
Nesse cenário, o descarte tira um IP do ar, mas o resto da base continua navegando. Sem a preparação, o mesmo ataque lotaria o link e derrubaria todos.
Se chegar uma nova mensagem durante o ataque
É comum o atacante escrever de novo no meio do ataque, subindo o valor ou encurtando o prazo. Não responda e não negocie, nem para ganhar tempo.
Guarde a mensagem nova junto com a primeira e leve as duas ao boletim de ocorrência, porque juntas elas ligam o ataque à ameaça. Pagar nessa hora também não encerra nada: o tráfego pode continuar, e o provedor passa a ser conhecido como alvo que cede sob pressão.
Erros comuns diante da ameaça
Os erros mais caros são pagar, negociar e esperar o prazo sem falar com ninguém. Todos eles aumentam o risco ou apagam provas que a polícia e a operadora vão pedir.
Evite
- Pagar. Não há garantia de que o ataque pare, e o provedor vira alvo de quem já sabe que ele cede.
- Responder provocando ou tentando negociar um valor menor com o atacante.
- Apagar a mensagem ou o e-mail original, que é prova do crime.
- Esperar o prazo sem confirmar com a operadora como acionar o descarte de tráfego.
- Reiniciar o roteador de borda no meio do ataque na esperança de que ele passe.
- Contar aos assinantes que houve extorsão, o que gera pânico e atrai novos atacantes.
Outro erro frequente é tratar a ameaça como assunto só do dono. Quem atende o telefone, quem opera a rede e quem fala com a operadora precisam saber do plano antes, ou cada um vai reagir de um jeito no dia do ataque.
Se a mensagem cita senhas, configurações ou dados internos, a extorsão pode ter começado com uma invasão. Nesse caso, veja o guia sobre provedor invadido antes de qualquer outra coisa.
Quando vale chamar um Especialista
Vale chamar assim que a ameaça chega, para usar o prazo na preparação, ou na hora em que o ataque começar. O checklist abaixo mostra se o provedor já tem o mínimo para enfrentar o dia prometido.
Marque o que o seu provedor já tem pronto hoje
- A community de blackhole de cada operadora de trânsito, confirmada e testada.
- O telefone do NOC de cada operadora, com quem atende fora do horário comercial.
- NetFlow ou sFlow exportado da borda, com alguém que saiba ler.
- Gerência dos roteadores fechada para a internet.
- Um texto pronto para o atendimento explicar instabilidade aos assinantes.
- Um responsável definido para decidir o descarte de um IP.
Menos de quatro marcas indicam que o provedor vai improvisar no dia do ataque. Nesse caso, o prazo do atacante é a chance de fechar essas lacunas com ajuda.
A Táquion Tech atende provedores de todo o Brasil de forma remota nessa preparação e na contenção, como parte do suporte técnico N3. Para clientes com contrato, o tempo de resposta segue o que estiver escrito no contrato [PREENCHER tempo de resposta por contrato].
Se o provedor vende link dedicado para empresas, confira também o que o contrato com elas promete. Uma queda longa por ataque pode estourar o SLA desses clientes, e saber disso antes ajuda a decidir quais IPs merecem proteção paga de limpeza de tráfego.
Perguntas frequentes sobre extorsão com ataque DDoS
Devo pagar o valor que o atacante pediu?
Não. Pagar não garante que o ataque pare e marca o provedor como alvo que cede, o que atrai novas ameaças do mesmo grupo e de outros.
Onde registrar uma tentativa de extorsão com DDoS?
Faça boletim de ocorrência, de preferência numa delegacia especializada em crimes cibernéticos, e envie a notificação ao CERT.br. Guarde a mensagem original e o endereço da carteira pedida.
O provedor deve contar aos assinantes sobre a ameaça?
Não é preciso falar em extorsão com os assinantes. Se o ataque acontecer, o atendimento informa uma instabilidade na rede e o prazo de normalização, sem citar valores nem o atacante.
O que fazer ao sofrer um ataque DDoS com extorsão?
Se o tráfego já chegou, contenha primeiro: ache o IP atacado e peça o blackhole à operadora quando o volume passar do link. Depois guarde a mensagem, faça o boletim de ocorrência e não responda ao atacante, nem para negociar.
O blackhole derruba os outros clientes do provedor?
Não. O blackhole descarta só o tráfego do IP anunciado, e o resto da base volta a navegar. O custo é deixar aquele IP fora do ar enquanto o descarte estiver ativo.
Serviços ligados a este guia
- Mitigação emergencial de DDoS para provedores Segurança e anti-DDoS
- Mapa de riscos da rede para provedores Consultoria e auditoria
- Configuração de blackhole BGP para provedores BGP e roteamento
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- CERT.br, notificação de incidentes: onde reportar ataques e tentativas de extorsão no Brasil.
- RFC 7999, BLACKHOLE Community: community padrão para pedir à operadora o descarte do tráfego de um IP atacado.
- Teletime, Norte e Nordeste crescem como alvos de ataques DDoS: crescimento dos ataques contra provedores regionais.
