Entre julho e setembro, a Cloudflare bloqueou 18,2 milhões de ataques de negação de serviço na camada de rede e 14,4 trilhões de requisições maliciosas na camada de aplicação. Passando para o relógio: 197,4 mil ataques por dia, cerca de 8.226 por hora, um a cada 0,44 segundo. No trimestre anterior foram 13,2 milhões, e nos três primeiros meses do ano, 10 milhões. A curva sobe, trimestre após trimestre.
Para quem é dono de uma clínica, de um escritório de contabilidade, de uma indústria ou de uma loja, esse volume só importa por um motivo: ele mostra que tirar uma empresa do ar deixou de exigir talento raro. Hoje existe quem venda capacidade de ataque como se vendesse hora de máquina, e o relatório associa o salto do trimestre a esses serviços de aluguel, responsáveis por centenas de milhares de disparos. São os ataques DDoS que chegam prontos, por encomenda.
O ataque virou serviço de prateleira
Negação de serviço é um ataque que não precisa invadir nada. Ele não rouba arquivo, não criptografa banco de dados, não pede senha. Ele ocupa. Milhares de máquinas infectadas, espalhadas pelo mundo, mandam pedidos ao mesmo tempo para o seu link de internet, para o seu servidor ou para o seu site. O equipamento tenta responder a todos, não dá conta e para de responder também a quem é cliente de verdade.
O resultado, na porta da empresa, não tem cara de crime cibernético. Tem cara de defeito. A recepção avisa que o sistema de agendamento está lento, o caixa diz que a maquininha não autoriza, o vendedor não consegue emitir nota, o cliente liga reclamando que o site não abre. Ninguém pensa em ataque. Pensa-se em operadora ruim, em computador velho, em software que travou. E é justamente essa confusão que faz o ataque funcionar por mais tempo do que deveria.
O tiro curto é o que passa batido
O dado mais importante do levantamento não é o total. É o formato. A equipe de inteligência Cloudforce One registrou alta de 208% nos ataques que duram menos de dez minutos e não passam de 1 Gbps de volume. São investidas pequenas, de curta duração, feitas para entrar e sair antes que alguém acorde e olhe um gráfico.
Isso muda tudo para quem administra uma empresa. Um ataque enorme é escandaloso: cai tudo, todo mundo percebe, a operadora liga, a imprensa fala. Um ataque de oito minutos não gera manchete; gera três reclamações, um atendimento perdido e a sensação de que a internet anda instável. Repetido três vezes por semana, em horário de pico, ele custa caro sem nunca ser registrado como incidente. É por isso que o monitoramento 24 horas da rede e dos links deixou de ser luxo de empresa grande: o que ninguém mede, ninguém corrige.
Houve também uma boa notícia no relatório, e ela vem com advertência. Os ataques gigantes, acima de 1 Tbps, caíram 69% de um trimestre para o outro: foram de 805 para 251. A explicação provável são as ações policiais de março contra as operações conhecidas como AISURU, KimWolf, JackSkid e Mossad. Só que o mesmo documento registra o aparecimento de variantes novas, batizadas de Dysphoria e Evooo1Bot. Operação derrubada não significa problema resolvido; significa vaga aberta.
Mudou ainda o jeito de atacar. As enxurradas que abusavam do protocolo CLDAP perderam espaço, enquanto a amplificação de DNS cresceu 215% e já responde por 3,43% de tudo o que acontece na camada de rede. Em linguagem de empresário: o agressor aprendeu a usar serviços comuns da internet como alto-falante, pedindo pouco e fazendo chegar muito na porta da vítima. Defesa que foi configurada há três anos e nunca mais foi revista tende a estar olhando para o ataque do ano passado.
Quem está na lista de mais atacados
Os setores mais visados no trimestre foram mídia, produção e publicação; tecnologia da informação e serviços; apostas e cassinos; software; e operadoras de telecomunicações. Entre os países, aparecem Estados Unidos, China, Indonésia, Reino Unido e Turquia, com Canadá e Israel entrando no grupo dos dez mais atingidos — no caso canadense, puxados por ataques ao varejo, às telecomunicações e ao marketing.
É tentador ler essa lista e concluir que uma clínica de bairro ou uma transportadora do interior não tem por que se preocupar. O raciocínio tem um furo. A lista mostra onde foi medido o maior volume, não onde está o maior prejuízo relativo. Um portal de mídia derrubado por dez minutos perde audiência; uma indústria com o sistema de expedição fora do ar por dez minutos para a doca, atrasa carreta e desorganiza o turno. O ataque é o mesmo. A conta, não.
O que o dono da empresa decide nesta semana
Não existe botão que torne uma empresa invisível na internet. Existe diferença enorme entre a empresa que aguenta o tranco e volta rápido e a empresa que descobre o problema pelo cliente. Essa diferença se constrói com cinco decisões que são de gestão, não de informática:
- Mais de um caminho para a internet. Dois links de operadoras diferentes, com troca automática, resolvem boa parte dos dias ruins. Isso é escolha de projeto de rede com caminhos redundantes, feita no papel antes de ser feita no equipamento.
- Borda da rede preparada para filtrar. Um firewall corporativo com filtragem e controle de tráfego bem dimensionado derruba pedido inútil antes que ele consuma o seu servidor, e ainda mostra em relatório o que tentou entrar.
- Sistema crítico fora da copa. Prontuário, ERP e emissor de nota fiscal rodando em um computador embaixo da escada ficam reféns do seu link. Em nuvem privada, dentro de um data center, a capacidade de absorver tráfego é de outra ordem.
- Alguém olhando quando você não está. O ataque curto pode acontecer às 19h40 de uma quinta-feira. Se ninguém vê o gráfico naquela hora, a empresa só fica sabendo na reunião de segunda, quando o dado já se perdeu.
- Plano de parada escrito. Quem liga para a operadora, quem avisa o cliente, qual atendimento continua no celular, em que ordem o sistema volta. Uma folha de papel decidida com calma vale mais do que improviso em dia de crise.
Três perguntas para levar a quem cuida da sua rede
- Se o link principal cair agora, em quantos minutos a empresa volta a atender — e quem me avisa primeiro, o sistema ou o cliente?
- O nosso firewall está apenas liberando o que a gente usa ou também barrando o excesso que chega de fora?
- Quando foi a última vez que alguém revisou essa configuração — e temos relatório do que foi bloqueado no último mês?
Se a resposta para qualquer uma delas for um silêncio, o problema não é o ataque que vem: é a falta de combinado dentro de casa. E isso se resolve em uma reunião, não em uma compra.
Fonte: The Hacker News — Cloudflare Reports 18.2 Million Network-Layer DDoS Attacks in Q3, Up 38%, outubro de 2026.
A Ragnatela é especialista em firewall e em cibersegurança: desenhamos a borda da rede, acompanhamos o tráfego da sua empresa com NOC 24 horas e mantemos o que é crítico em nuvem privada, com backup restaurado e testado. Se você não sabe responder às três perguntas acima, fale com a nossa equipe e olhamos a sua operação com você.
Perguntas frequentes
O que é um ataque DDoS, em linguagem de empresário?
É um ataque que não invade nem rouba dados: ele entope. Muitos equipamentos infectados fazem pedidos ao mesmo tempo para o seu link, o seu site ou o seu servidor, até que o sistema pare de responder a todo mundo. Para quem está no balcão ou na recepção, parece queda de internet ou sistema travado.
Empresa pequena ou média também é alvo disso?
O relatório mostra os setores e países que concentraram mais volume, não uma lista de quem está livre. O ponto que interessa ao empresário é outro: como existe quem venda ataque por encomenda, o custo de atrapalhar uma empresa caiu. E dez minutos parado pesa diferente em cada negócio.
Como eu sei se foi ataque e não problema da operadora?
Sem alguém medindo, você não sabe. É o acompanhamento contínuo do link e do firewall que mostra se houve pico de tráfego vindo de fora, de onde veio e quanto tempo durou. Ataques curtos, de menos de dez minutos, dificilmente aparecem em registro feito só na segunda-feira.
Instalar um firewall já resolve?
O firewall é peça central, mas trabalha junto com outras decisões: caminho redundante de internet, sistemas críticos hospedados em estrutura com mais capacidade, monitoramento fora do horário comercial e um plano escrito de parada. Equipamento configurado uma vez e nunca revisto defende o ataque de ontem.
