Una operación internacional de aplicación de la ley derribó 53 dominios y arrestó a cuatro personas en relación con operaciones comerciales de denegación de servicio distribuido (DDoS) que fueron utilizadas por más de 75.000 ciberdelincuentes.
El esfuerzo en curso, denominado Operación Apagadointerrumpió el acceso a los servicios de alquiler de DDoS, derribó la infraestructura técnica que los respaldaba y obtuvo acceso a bases de datos que contenían más de 3 millones de cuentas de usuarios criminales. Las autoridades también están enviando correos electrónicos y cartas de advertencia a los usuarios criminales identificados, y se han emitido 25 órdenes de registro.
En la acción participaron nada menos que 21 países: Australia, Austria, Bélgica, Brasil, Bulgaria, Dinamarca, Estonia, Finlandia, Alemania, Japón, Letonia, Lituania, Luxemburgo, Países Bajos, Polonia, Portugal, Suecia, Tailandia, Reino Unido y Estados Unidos.
«Los servicios de arranque permiten a los usuarios lanzar ataques DDoS contra sitios web, servidores o redes específicos», dijo Europol en un comunicado. «Su infraestructura se compone de servidores, bases de datos y otros componentes técnicos que hacen posibles las actividades de alquiler de DDoS. Al apoderarse de estas infraestructuras, las autoridades pudieron obstaculizar estas operaciones criminales y evitar mayores daños a las víctimas».
La agencia describió el alquiler de DDoS como una de las tendencias más prolíficas y de fácil acceso en materia de delitos cibernéticos, ya que permite que incluso personas con poco o ningún conocimiento técnico ejecuten ataques maliciosos a escala e inflijan daños significativos a las empresas.
Europol también señaló que la actividad DDoS puede provenir de actores de amenazas capacitados y con buenos recursos, que podrían confiar en dichos servicios para personalizar u optimizar sus actividades ilícitas. Los ataques DDoS suelen tener como objetivo varios servicios basados en la web, y las motivaciones detrás de ellos son tan variadas como amplias.
Esto va desde la simple curiosidad y la ganancia financiera mediante la extorsión hasta el hacktivismo impulsado por razones ideológicas y la interrupción de los servicios de los competidores. Se ha descubierto que algunos operadores de estos servicios enmascaran sus verdaderos motivos y escapan al escrutinio de las autoridades disfrazándolos de herramientas de pruebas de estrés.
Este desarrollo marca el último paso dado por las autoridades para desmantelar las infraestructuras criminales de alquiler de DDoS en todo el mundo como parte de PowerOFF. En agosto de 2025, el gobierno de EE. UU. anunció la eliminación de una botnet DDoS llamada RapperBot que se utilizaba para llevar a cabo ataques disruptivos a gran escala dirigidos a víctimas en más de 80 países desde al menos 2021.
Las autoridades estadounidenses interrumpen los servicios de botnet DDoS IoT
En un anuncio paralelo, el Departamento de Justicia de EE. UU. (DoJ) dijo que se habían emprendido acciones autorizadas por los tribunales para interrumpir algunos de los principales servicios de botnets DDoS de Internet de las cosas (IoT) del mundo como parte de su compromiso continuo de responsabilizar a los administradores de botnets DDoS y confiscar sitios web que permiten a los usuarios de pago lanzar potentes ataques DDoS.
Estos ataques están diseñados para inundar sitios web, servidores y redes con tráfico basura, degradando el acceso a servicios legítimos, provocando cuellos de botella en el rendimiento y, en algunos casos, dejándolos completamente fuera de línea.
El Departamento de Justicia dijo que las autoridades estadounidenses confiscaron servicios asociados con ocho dominios de alquiler de DDoS, incluidos Vac Stresser y Mythical Stress, los cuales afirmaban lanzar miles de ataques DDoS por día. También dijo que se ha lanzado una campaña publicitaria para disuadir a posibles ciberdelincuentes que buscan servicios DDoS en EE.UU. y otros lugares y para alertar al público sobre la ilegalidad de los ataques DDoS.
Los nombres de los dominios asociados con los servicios de inicio se enumeran a continuación:
- vacstresser(.)red
- estrés mítico(.)com
Los visitantes de los sitios ahora son recibidos por un cartel de incautación que dice: «Los ataques DDoS son ilegales. Durante años, las agencias policiales de todo el mundo han confiscado bases de datos de arranque, han arrestado a administradores y recopilado información relacionada con el funcionamiento de estos servicios, incluida información sobre los clientes de estos servicios. Cualquiera que opere o utilice servicios DDoS está sujeto a investigación, enjuiciamiento y otras acciones policiales».
