Atacurile DoS si DDoS — Ce sunt, cum au evoluat si cum te protejezi in 2026

In primul trimestru din 2025, Cloudflare a blocat 20,5 milioane de atacuri DDoS — aproape cat in intregul an 2024. Recordul absolut de amploare a fost doborat in aprilie 2025 cu un atac de 6,5 Tbps. Atacurile DDoS nu sunt doar un subiect de securitate cibernetica — sunt o realitate cu care orice proprietar de site web se poate confrunta.

In acest articol vom explica ce sunt atacurile DoS si DDoS, cum functioneaza, cum au evoluat in ultimii ani si ce poti face pentru a-ti proteja site-ul. Daca vrei o definitie tehnica rapida, consulta si pagina dedicata din glosarul HostPedia.

Ce sunt atacurile DoS si DDoS?

DoS (Denial of Service) este un atac cibernetic in care o singura sursa incearca sa faca un server sau o retea indisponibila, fie prin supraincarcarea cu trafic, fie prin exploatarea unei vulnerabilitati. Gandeste-te la o persoana care blocheaza intrarea unui magazin.

DDoS (Distributed Denial of Service) este versiunea distribuita: mii sau milioane de dispozitive compromise (botnet) ataca simultan aceeasi tinta. E ca un flashmob de zeci de mii de oameni care blocheaza toate intrarile unui mall in acelasi timp. Natura distribuita face atacul exponential mai greu de oprit — traficul vine de la IP-uri legitime din toata lumea.

Tipuri de atacuri DDoS

Atacuri volumetrice (Layer 3/4)

Scopul: saturarea benzii de retea a tintei cu trafic masiv. Se masoara in biti pe secunda (bps).

• UDP Flood — trimite cantitati masive de pachete UDP catre porturi aleatorii ale tintei. Simplu dar eficient
• DNS Amplification — atacatorul trimite cereri DNS mici catre servere DNS publice, cu IP-ul sursa falsificat (al victimei). Serverele DNS raspund cu pachete de pana la 70x mai mari catre victima. Cu 1 Gbps de banda, atacatorul genereaza 70 Gbps de trafic
• NTP Amplification — similar, dar foloseste servere NTP. Factor de amplificare: pana la 556x
• Memcached Amplification — cel mai puternic vector de amplificare: pana la 51.000x. A fost folosit in atacul de 1,35 Tbps asupra GitHub in 2018

Atacuri de protocol (Layer 3/4)

Scopul: epuizarea resurselor serverului sau echipamentelor intermediare (firewall-uri, load balancere). Se masoara in pachete pe secunda (pps).

• SYN Flood — exploateaza handshake-ul TCP in trei pasi. Atacatorul trimite cereri SYN masive cu IP-uri falsificate si nu completeaza niciodata conexiunea. Serverul tine conexiunile „pe jumatate deschise" pana ii epuizeaza resursele. Unul dintre cele mai vechi si inca cele mai frecvente tipuri de atac
• Ping of Death — trimite pachete ping malformate sau supradimensionate. Sistemele moderne sunt in mare parte imune, dar variante inca exista
• Smurf Attack — trimite cereri ICMP catre adresa de broadcast a unei retele cu IP-ul victimei falsificat, declansand un raspuns amplificat

Atacuri la nivel de aplicatie (Layer 7)

Cele mai sofisticate. Traficul arata ca trafic legitim, ceea ce face detectia extrem de dificila. Se masoara in cereri pe secunda (rps).

• HTTP Flood — trimite volume masive de cereri HTTP GET sau POST catre un server web. Cererile par legitime — headere corecte, user agent valid, URL-uri reale. Forteaza serverul sa proceseze fiecare cerere (interogari la baza de date, randare pagini)
• Slowloris — deschide multe conexiuni catre server si le mentine deschise trimtand headere HTTP partiale, foarte lent, fara a completa niciodata cererea. Necesita foarte putina banda — un singur calculator poate pune la pamant un server Apache
• DNS Query Flood — trimite volume masive de cereri DNS catre un server DNS, facand site-urile inaccesibile chiar daca serverul web functioneaza

Cum functioneaza un atac DDoS: anatomia unui botnet

1. Infectare — atacatorul compromite dispozitive folosind malware, exploituri sau credentiale default (camere IP, routere, DVR-uri). Botnetul Mirai scana internetul cautand 62 de combinatii de credentiale default
2. Comanda si control (C2) — dispozitivele compromise se conecteaza la un server de comanda. Botneturile moderne folosesc arhitectura P2P descentralizata sau canale criptate
3. Dormanta — botii raman inactivi pana sunt activati, uneori luni de zile
4. Comanda de atac — atacatorul specifica tinta, tipul atacului si durata
5. Asalt coordonat — toate dispozitivele ataca simultan, generand un tsunami de trafic

Un element crucial este amplificarea prin reflectie: atacatorul trimite cereri mici catre servere publice (DNS, NTP, Memcached) cu IP-ul sursa falsificat al victimei. Serverele publice trimit raspunsuri amplificate catre victima, multiplicand puterea atacului de zeci sau mii de ori.

Scurt istoric: de la Mafiaboy la 6,5 Tbps

DDoS in 2024-2026: cifre si tendinte

Cresterea atacurilor DDoS in ultimii ani este alarmanta:

• 2024: Cloudflare a blocat 21,3 milioane de atacuri DDoS pe parcursul anului — o crestere de 53% fata de 2023
• Q1 2025: Doar in primul trimestru, Cloudflare a mitigat 20,5 milioane de atacuri — aproximativ cat in intregul 2024. Crestere de 358% fata de Q1 2024
• Atacuri HTTP (Layer 7): crestere de 118% in Q1 2025 vs. Q1 2024
• Atacurile multi-terabit (4-6 Tbps) devin obisnuite — nu mai sunt excepii, ci noua norma
• Durata medie a atacurilor scade — multe dureaza sub 10 minute (tactici „hit-and-run")
• Atacuri multi-vector — combinarea simultana a atacurilor volumetrice + protocol + Layer 7 reprezinta acum majoritatea atacurilor sofisticate

DDoS-as-a-Service: atacuri la comanda

Unul dintre cele mai ingrijoratoare aspecte este democratizarea atacurilor. Serviciile de tip „booter" sau „stresser" sunt accesibile pe dark web si chiar pe web-ul de suprafata, comercializate ca „servicii de testare":

• Atacuri de baza: 10-50 USD pe ora
• Abonamente lunare: 30-150 USD pentru atacuri nelimitate pana la anumite limite de banda
• Atacuri multi-vector de 100+ Gbps: 500-5.000 USD+
• Plata in criptomonede (Bitcoin, Monero) pentru anonimizare

Fortele de ordine lupta activ impotriva acestor servicii. In decembrie 2024, FBI, Europol si parteneri au confiscat 27 de domenii de servicii booter/stresser si au pus sub acuzare 6 operatori (Operatiunea PowerOFF). Dar servicii noi apar rapid — se estimeaza ca exista sute de servicii active in orice moment.

AI si DDoS: cursa inarmarilor

Inteligenta artificiala a intrat in ecuatia DDoS pe ambele parti:

• Atacatori — AI ajuta la identificarea tintelor vulnerabile, gestionarea botneturilor in timp real (schimbarea vectorului cand unul e mitigat), generarea de cereri care imita mai bine traficul legitim si testarea automata a regulilor WAF
• Aparatori — Cloudflare, Akamai, Radware folosesc AI/ML extensiv pentru analiza traficului in timp real, detectia anomaliilor si mitigarea automata. Capacitatea AI de a distinge traficul malitios de cel legitim la scale de miliarde de cereri este esentiala

DDoS geopolitic si hacktivism

Conflictele geopolitice au transformat DDoS intr-o arma de razboi cibernetic:

• Rusia-Ucraina: DDoS este o arma constanta pe ambele fronturi. Grupurile pro-ruse Killnet si NoName057(16) ataca tari NATO, inclusiv Romania. IT Army of Ukraine (300.000+ membrii initial) vizeaza infrastructura rusa
• Anonymous Sudan (2023-2024): atacuri de profil inalt impotriva Microsoft, OpenAI/ChatGPT, Cloudflare. Doi cetateni sudanezi au fost inculpati de DOJ-ul american in octombrie 2024
• Romania — tinta recurenta: Site-uri guvernamentale romanesti (gov.ro, mapn.ro), aeroporturi si institutii bancare au fost tintite de grupuri pro-ruse in 2022-2024, din cauza pozitiei pro-Ucraina a Romaniei si a bazelor NATO de pe teritoriul sau

Cum afecteaza atacurile DDoS gazduirea web

• Hosting partajat — cel mai vulnerabil. Un atac asupra unui singur site afecteaza toate site-urile de pe server (100-500+ site-uri). Furnizorul poate face „null-route" (blackhole) adresei IP atacate, punand toate site-urile offline pentru a proteja restul infrastructurii
• VPS — vulnerabilitate moderata. AI IP dedicat, dar imparti portul de retea fizic. Un atac volumetric mare poate satura uplink-ul nodului fizic, afectand alti clienti VPS
• Server dedicat — pozitie mai buna (port de retea dedicat, de obicei 1-10 Gbps), dar orice atac care depaseste capacitatea portului cauzeaza downtime
• Costuri ascunse — unii furnizori tarifeaza traficul de atac daca nu este exclus explicit. Penalitatile SLA pot sau nu sa acopere downtime-ul cauzat de DDoS

Cum te protejezi de atacuri DDoS

1. Foloseste un CDN cu protectie DDoS — Cloudflare ofera protectie DDoS nelimitata chiar si pe planul gratuit (unic in industrie). Reteaua lor globala de 296+ Tbps poate absorbi practic orice atac. Alternative: AWS Shield, Akamai Prolexic, Imperva
2. Alege un hosting cu protectie inclusa — furnizori precum OVH ofera filtrare DDoS la nivel de infrastructura (VAC — peste 10 Tbps capacitate de scrubbing). Verifica ce protectie include planul tau
3. Rate limiting la nivel de server — configureaza limita de cereri per IP in Nginx (limit_req_zone) sau Apache (mod_evasive)
4. Firewall si fail2ban — iptables/nftables pentru filtrare la nivel de kernel, fail2ban pentru blocarea automata a IP-urilor abuzive
5. DNS distribuit — foloseste un furnizor DNS rezistent (Cloudflare DNS, Route53) — atacatorii deseori vizeaza mai intai DNS-ul
6. Monitorizare in timp real — seteaza alerte pentru cresteri anormale de trafic. Detectia rapida permite activarea masurilor de urgenta inainte ca atacul sa capete amploare
7. Plan de raspuns — stabileste din timp ce faci cand esti atacat: cine contacteaza furnizorul, cine activeaza protectia CDN, cum comunici cu utilizatorii

Costul atacurilor DDoS

Asimetria de cost este ceea ce face atacurile DDoS atat de periculoase: este incomparabil mai ieftin sa ataci decat sa te aperi.

Aspecte legale: atacurile DDoS sunt infractiuni

Atacurile DDoS sunt ilegale in practic toate jurisdictiile care au legislatie privind criminalitatea informatica.

• Romania — Articolul 360 din Codul Penal, „Perturbarea functionarii sistemelor informatice": pedeapsa de 2-7 ani inchisoare. Articolul 362 pedepseste crearea si distribuirea de instrumente DDoS cu 1-5 ani. DIICOT investigheaza cazurile majore
• Uniunea Europeana — Directiva 2013/40/UE: pedepse maxime de 2-5 ani, pana la 10+ ani pentru atacuri asupra infrastructurii critice
• SUA — Computer Fraud and Abuse Act (CFAA): pana la 10 ani (prima infractiune), 20 ani (recidiva)
• Conventia de la Budapesta — tratatul international principal privind criminalitatea cibernetica, ratificat de Romania in 2004, acopera explicit interferenta cu sistemele informatice

Concluzie

Atacurile DDoS au evoluat de la curiozitati tehnice ale anilor 2000 la arme cibernetice la scala industriala. Cu 20,5 milioane de atacuri mitigate doar in Q1 2025, recorduri de 6,5 Tbps si servicii de atac disponibile de la 10 dolari, amenintarea este mai reala si mai accesibila ca niciodata.

Vestea buna: protectia s-a imbunatatit pe masura. Servicii precum Cloudflare ofera protectie DDoS gratuita si eficienta, iar furnizorii de hosting investesc tot mai mult in infrastructura de mitigare. Cheia este sa fii pregatit inainte de atac, nu dupa — un CDN configurat, un plan de raspuns si o alegere informata a furnizorului de hosting fac diferenta intre cateva secunde de downtime si cateva zile.

Pentru o definitie tehnica si mai multe detalii, viziteaza pagina DDoS Attack din glosarul HostPedia. Si daca vrei sa te asiguri ca furnizorul tau de hosting ofera protectie adecvata, compara optiunile pe HostPedia.ro.