Resposta rápida: ataque DDoS é uma inundação coordenada de tráfego malicioso que tira sites, sistemas e links corporativos do ar por saturação. Firewall local não segura ataque volumétrico: a mitigação eficaz acontece na rede da operadora, que filtra o tráfego sujo antes de ele chegar ao seu link. Em 2026, o Brasil registra volumes recordes desses ataques.
O parágrafo acima resume o guia. Os detalhes abaixo explicam por que essa resposta derruba um mito caro: o de que a sua empresa está protegida porque “tem firewall”.
Junho de 2026 foi o pior mês da história recente pra quem opera serviço online no Brasil: , segundo levantamento setorial coberto pelo IT Forum. Não é pico isolado; é tendência de crescimento desde janeiro. E o alvo não é “empresa grande de tecnologia”: é qualquer negócio cujo faturamento passa por um link de internet, do e-commerce ao atacadista que emite nota fiscal na nuvem.
Este guia explica o que é o ataque, como reconhecer que você está sofrendo um, o que o firewall resolve (e o que ele comprovadamente não resolve), e como montar uma defesa em camadas que não quebra o orçamento.
ㅤ
O que é um ataque DDoS (e o que ele não é)
DDoS é a sigla de Distributed Denial of Service, negação de serviço distribuída. A mecânica é de força bruta: milhares de dispositivos infectados (a botnet) despejam tráfego simultâneo contra o seu endereço até esgotar alguma coisa: a banda do link, a tabela de conexões do equipamento ou a capacidade da aplicação.
Uma distinção que evita pânico do lado errado: DDoS clássico não rouba dados. Ele tira do ar. O prejuízo é de indisponibilidade: loja fechada, telefonia IP muda, ERP inacessível, API fora. O roubo de dados é outro tipo de ameaça, que já mapeamos no nosso guia de . O detalhe perverso é que os dois andam juntos com frequência: o DDoS às vezes é cortina de fumaça pra ocupar a equipe de TI enquanto a invasão de verdade acontece por outra porta.
Na prática, os ataques se dividem em três camadas:
- Volumétricos: o mais comum. Entopem a banda do link com tráfego bruto, medido em gigabits ou terabits por segundo;
- De protocolo: exploram o funcionamento de TCP/IP pra esgotar tabelas de conexão de firewalls e balanceadores; o alvo é o equipamento, não a banda;
- De aplicação (camada 7): mais sutis, imitam usuários reais fazendo requisições pesadas (busca, login, checkout) até derrubar o servidor por dentro.
Guarde essa divisão. Ela explica por que uma única ferramenta nunca resolve o problema inteiro.
ㅤ
2026: o ano em que o DDoS virou rotina no Brasil
Os números deste ano mudaram a conversa de “se acontecer” pra “quando acontecer”. Além do recorde de junho, o Brasil ultrapassou a marca de , segundo dados da Check Point Research cobertos pela Convergência Digital.
Dois motivos empurram essa curva. O primeiro é econômico: alugar botnet ficou barato. O “DDoS de encomenda” virou serviço de prateleira no submundo, com preço de assinatura de streaming, o que coloca a arma na mão de concorrente desleal, ex-funcionário ressentido e extorsionário amador. O segundo é técnica: a IA generativa barateou a automação de ataques em todas as camadas, inclusive a de aplicação, que antes exigia mais sofisticação.
E tem o enquadramento legal, que pouca gente conhece: derrubar serviço de informação alheio é crime no Brasil. O , pune a interrupção de serviço telemático ou de informação de utilidade pública com detenção de um a três anos, além da multa. Saber disso importa na hora de registrar o boletim de ocorrência e acionar juridicamente quem for identificado.
ㅤ
Os sinais de que sua empresa está sob ataque
O DDoS raramente se anuncia. Ele parece, nos primeiros minutos, uma “internet ruim”. Os sinais que separam ataque de instabilidade comum:
- Lentidão extrema ou queda total de site, sistema ou telefonia, tudo ao mesmo tempo (instabilidade comum costuma afetar um serviço por vez);
- Tráfego de entrada disparando sem campanha, promoção ou motivo de negócio;
- Requisições em massa vindas de IPs espalhados por países onde você não tem cliente;
- CPU e memória dos servidores saturadas com padrões repetitivos nos logs;
- E o sinal mais confiável de todos: seus clientes reclamando que nada abre enquanto o seu monitoramento interno parece normal, porque o problema está na porta de entrada, não dentro da casa.
Empresa que já passou por : a diferença é que no DDoS a queda dura o quanto o atacante quiser, se você não tiver pra quem ligar.
ㅤ
Firewall resolve? A resposta honesta
Essa é a pergunta que mais escutamos no comercial, então merece uma seção inteira: não, firewall sozinho não segura DDoS. E quem diz o contrário está vendendo caixa, não solução.
O firewall é a porta blindada da sua rede: inspeciona o que entra, bloqueia acesso indevido, segmenta o tráfego. Contra ataque de protocolo e de aplicação, um é parte relevante da defesa. Mas contra ataque volumétrico ele tem um problema de física: o tráfego malicioso precisa passar pelo seu link pra chegar até ele. Se o seu link é de 500 Mbps e o ataque despeja 40 Gbps, a rua entupiu oitenta vezes antes de a porta blindada ter chance de trabalhar. O firewall nem chega a ver o ataque; ele fica ilhado.
É por isso que a mitigação volumétrica séria acontece antes do seu link, na rede de quem te entrega a internet. A monitora o tráfego na borda, identifica o padrão de ataque e desvia o volume sujo pra centros de limpeza (os scrubbing centers), entregando pra sua empresa só o tráfego legítimo. A capacidade de absorção se mede em terabits, escala que nenhum equipamento de cliente alcança.
A analogia que usamos com clientes: firewall é a segurança na porta do prédio; anti-DDoS de operadora é fechar a avenida antes de a multidão chegar no quarteirão. Você precisa dos dois, cada um no seu papel.
ㅤ
Quanto custa a proteção (e como pensar esse orçamento)
O mercado cobra mitigação DDoS em dois modelos principais. No always-on, todo o seu tráfego passa continuamente pela limpeza; custa mais, mas o ataque morre sem nem virar incidente. No sob demanda, o desvio pros centros de limpeza é acionado quando o ataque começa; custa menos e aceita alguns minutos de impacto até a mitigação engatar. Entre os dois, variam a banda protegida, a franquia de eventos por mês e o SLA de acionamento.
A ordem de grandeza é a boa notícia: contratada junto com o link da própria operadora, a proteção costuma sair por uma fração do valor da conectividade, longe do estereótipo de “produto de banco”. A conta que recomendamos é a mesma do custo de parada: se uma tarde fora do ar custa mais que um ano de proteção (e pra quase todo e-commerce ou operação com telefonia IP, custa), a discussão de orçamento acabou. Desconfie, isso sim, de proposta que promete proteção “ilimitada” sem dizer capacidade em Gbps nem prazo de acionamento; limite não declarado é limite que você descobre no pior dia.
ㅤ
Os três erros que mais vemos em empresa atacada
Depois de anos atendendo incidente, os padrões se repetem com uma teimosia impressionante.
O primeiro erro: descobrir no dia do ataque que o contrato de internet não inclui mitigação nenhuma, porque ninguém nunca perguntou. A pergunta custa um e-mail; a resposta muda o desenho inteiro da defesa.
O segundo: o plano de resposta que mora na cabeça de uma pessoa só. Se o ataque cair nas férias dela, a empresa aprende na prática o que é ponto único de falha, tema que já tratamos no post sobre e que vale pra gente tanto quanto pra equipamento.
O terceiro é o mais sutil: tratar “nunca fomos atacados” como dado. Ataque curto e de baixo volume passa como “instabilidade” no relatório mensal; sem monitoramento na borda, você não tem como saber se já foi testado. Na nossa experiência, quem instala visibilidade descobre que a pergunta certa nunca foi “se”, era “quantas vezes por trimestre”.
ㅤ
O plano de resposta: antes, durante e depois
Antes. Levante o que na sua operação é exposto à internet (site, API, VPN, telefonia, e-mail) e o que acontece com o faturamento se cada item cair por 4 horas. Essa conta de custo de parada é a mesma que ensinamos no nosso guia de , e ela define quanto vale a pena investir em proteção. Depois, pergunte formalmente ao seu provedor: “qual é o procedimento de vocês num DDoS contra o meu link?”. Resposta vaga aqui vale mais que qualquer proposta comercial: mostra com quem você está casado.
Durante. A primeira ligação é pra operadora, não pro suporte de TI interno; se a mitigação é na borda, é ela quem aciona. Registre horários e evidências (prints de monitoramento, logs) pro boletim de ocorrência e pra eventual acionamento de seguro cibernético. Comunique clientes com transparência antes que descubram sozinhos. E não pague resgate de extorsão: quem paga entra numa lista de quem paga.
Depois. Post-mortem honesto: qual camada falhou, quanto tempo levou a detecção, quanto custou a hora parada. Ataque repetido no mesmo alvo é a norma, não a exceção; a primeira onda costuma ser teste de resistência.
ㅤ
Defesa em camadas: o que se soma à mitigação
A proteção anti-DDoS resolve o ataque; ela não elimina o risco de indisponibilidade por outras causas. As camadas que completam o desenho, em ordem de prioridade na nossa experiência de :
Um como base, porque proteção em cima de conexão sem garantia é alarme em porta de palha. Um , pra queda que não é ataque: rompimento de fibra, falha de equipamento, obra na rua. As que já detalhamos aqui no blog mostram como combinar os dois sem dobrar o orçamento. E pra quem opera aplicação sensível a latência, vale entender : caminho mais curto também é superfície menor de problema.
Empresa com filiais soma a essa lista a visão centralizada do , que enxerga anomalia de tráfego em todas as pontas ao mesmo tempo. Não por acaso, é o conjunto que aparece nos que atravessaram 2026 sem manchete ruim.
ㅤ
Quando a proteção dedicada ainda não é prioridade
Nem toda empresa precisa correr pra contratar mitigação dedicada hoje, e é justo dizer isso com clareza.
Se a sua operação não tem serviço próprio exposto na internet (o site é institucional hospedado fora, o sistema é SaaS de terceiro, a venda não para se a internet cair por uma tarde), o seu risco direto de DDoS é baixo. Nesse cenário, o dinheiro rende mais em redundância de link e em higiene básica de segurança, na linha do que mostramos no guia de .
Agora, se qualquer uma destas frases descreve você, a conversa muda de urgência: e-commerce próprio, API que parceiros consomem, telefonia IP como canal principal de venda, VPN que sustenta o trabalho remoto, ou contrato com cliente que cobra SLA seu. Nesses casos, cada semana sem mitigação é aposta. E, como os números de junho mostraram, a banca está do outro lado.
ㅤ
Perguntas frequentes
Como sei se minha empresa está sofrendo um ataque DDoS?
Os sinais clássicos: site e sistemas caem juntos, tráfego de entrada dispara sem motivo de negócio, requisições em massa de IPs de regiões onde você não atua e servidores saturados com padrão repetitivo nos logs. A confirmação rápida vem do seu provedor, que enxerga o volume anômalo na borda antes de você.
Firewall protege contra ataque DDoS?
Contra ataques de protocolo e de aplicação, ajuda bastante. Contra ataque volumétrico, não: o tráfego satura o seu link antes de chegar ao firewall. A mitigação volumétrica precisa acontecer na rede da operadora, com desvio pra centros de limpeza.
Quanto tempo dura um ataque DDoS?
De minutos a dias. Ataques curtos e repetidos são comuns como teste de resistência ou instrumento de extorsão (“pague ou continuamos”). A duração depende do custo pro atacante e da resistência que ele encontra; alvo protegido deixa de ser interessante rápido.
DDoS é crime no Brasil?
É. O artigo 266 do Código Penal pune a interrupção de serviço telemático ou de informação de utilidade pública com detenção de um a três anos e multa. Registre boletim de ocorrência com as evidências; além de viabilizar investigação, o registro formal é exigência comum de seguros cibernéticos.
O que fazer no minuto em que o ataque começa?
Ligue pra sua operadora e acione o protocolo anti-DDoS (se ela não tiver um, essa é a lição do incidente). Documente tudo com horários. Comunique os clientes com transparência. Não desligue tudo no pânico: parte das evidências mora nos logs, e a mitigação na borda costuma resolver sem que você precise apagar incêndio por dentro.
ㅤ
O DDoS saiu da categoria “risco de gente grande” e virou estatística mensal de recorde no Brasil. A boa notícia é que a defesa madura não exige que você vire especialista em segurança: exige escolher uma operadora que já seja. Se quiser saber como o seu link se comportaria num ataque de 40 Gbps amanhã de manhã, e pergunte exatamente isso. Resposta clara pra pergunta difícil é o nosso jeito de vender.
