A NETSCOUT registrou 487.415 ataques DDoS no Brasil no primeiro semestre de 2026, alta de 3,56% sobre os 470.677 do semestre anterior, segundo a Teletime. As telecomunicações concentraram 175.023 deles, 35,9% do total, a maior parte contra operadoras sem fio (as redes fixas somaram 27.967), de acordo com a TeleSíntese. A própria NETSCOUT avisa que os números refletem o que a infraestrutura dela observa e não são um censo.
Quem opera rede costuma tratar o ataque DDoS no provedor de internet como algo que chega de fora e se resolve na borda. O mesmo relatório descreve redes de proxies residenciais que originam tráfego de ataque a partir de IPs de consumidores, o que põe parte do problema dentro da casa dos clientes. A mitigação continua na borda. A higiene do parque de CPEs (firmware, senha de administração, serviços expostos, configuração que volta depois do reset) cabe ao provedor, e com milhares de equipamentos na rua ela não se faz um por um.
De onde sai o ataque DDoS no provedor de internet?
Parte do tráfego de ataque sai de equipamento doméstico comprometido, que é difícil de filtrar. Botnet em servidor alugado usa endereço de data center, que a borda reconhece com alguma facilidade, enquanto um IP residencial com histórico de tráfego normal passa por qualquer filtro grosseiro. No resumo do relatório da NETSCOUT, os proxies residenciais fornecem endereços de origem parecidos com os de assinantes comuns, e a recomendação da empresa é mitigação mais seletiva, com mais capacidade de scrubbing na borda do provedor.
Em dezembro de 2025, num evento do NIC.br, Craig Labovitz, executivo da Nokia, estimou em cerca de 25 milhões os equipamentos residenciais brasileiros envolvidos de forma recorrente em ataques, conforme a TeleSíntese. É estimativa de palestrante, sem o peso de um dado oficial. Na lista dele estão TVs conectadas, câmeras, aplicativos Android e programas gratuitos, e, nas palavras dele, a ameaça normalmente é a própria rede.
Como a CPE do assinante entra num ataque DDoS?
A CPE entra num ataque DDoS invadida, como parte de uma botnet, ou como refletor de amplificação. As recomendações do CERT.br sobre DDoS colocam CPEs, roteadores Wi-Fi e modems de banda larga entre os equipamentos usados em botnets, ao lado de câmeras, computadores e celulares. Esses outros aparelhos também estão na casa do assinante e fora da gerência do provedor, então a CPE nem é a principal origem. É a parte que ele consegue padronizar.
A invasão costuma passar por firmware antigo com falha conhecida ou por senha de administração de fábrica, e piora quando a gerência web responde pela WAN. É comum no suporte o roteador comprado em loja pelo assinante que nunca teve a senha trocada.
Na amplificação, o atacante manda consultas pequenas com o endereço da vítima forjado, e o equipamento devolve à vítima respostas muito maiores. O CERT.br cita DNS, NTP e SSDP entre os serviços com fator de amplificação alto e registra que CPEs costumam vir com eles habilitados. No Brasil, a amplificação de DNS foi o segundo vetor mais frequente do semestre, com 61.575 registros, segundo a mesma reportagem da TeleSíntese.
O que se resolve na borda e o que se resolve no parque
Ataque em andamento se mitiga na borda e no upstream, com scrubbing, filtragem seletiva e folga de trânsito, e configuração de CPE nenhuma muda isso. Na saída da rede, o antispoofing da BCP 38 (RFC 2827) descarta pacotes da sua base com origem forjada, o que tira do equipamento comprometido a capacidade de disparar reflexão contra terceiros. A RFC avisa que o filtro não protege contra inundação vinda de endereços válidos, que é o caso dos proxies residenciais.
Firmware atualizado e serviço exposto fechado reduzem, mês a mês, quantos equipamentos da sua base podem ser recrutados ou usados como refletor, sem efeito sobre o ataque que está acontecendo agora.
Como atualizar o firmware de milhares de CPEs sem derrubar o assinante?
Para atualizar firmware em escala sem derrubar assinante, o provedor precisa testar num lote pequeno e ter um freio automático para quando as falhas se acumulam. No IXC ACS, a atualização de firmware em massa funciona assim:
- Filtrar o parque por fabricante, modelo, versão de hardware e firmware atual. O hardware importa porque o mesmo modelo comercial pode ter revisões que não aceitam o mesmo arquivo.
- Aplicar o arquivo em 2 ou 3 equipamentos e conferir se WAN e Wi-Fi voltaram como estavam.
- Agendar o lote para um horário de baixo tráfego, já que o equipamento reinicia ao gravar o firmware.
- Acompanhar no painel os atualizados, os rejeitados e os pendentes. Se mais de 30% falharem, recusarem o arquivo ou derem timeout, o sistema interrompe a tarefa, e a opção de refazer considera só os que falharam.
O ACS só alcança as CPEs apontadas para ele, então cobertura de apontamento baixa deixa parte do parque de fora (o guia de apontamento em planta multimarca trata disso). O que funciona em cada equipamento depende da homologação de modelo e firmware. São mais de 230 modelos homologados, e o roteador que o assinante comprou por conta própria pode não estar entre eles. Atrás de CGNAT, o comando espera o próximo inform da CPE.
O IXC ACS não detecta nem mitiga DDoS e não identifica equipamento infectado. O papel dele é padronizar e corrigir as CPEs que gerencia.
E quando o assinante dá reset de fábrica?
O reset de fábrica traz de volta a senha padrão e os serviços que você tinha desligado. No suporte a cena é conhecida: a internet trava numa noite qualquer, o assinante segura o botão de reset e o equipamento volta ao estado em que saiu da caixa.
A reconfiguração automática por preset cuida desse retorno. Quando a CPE volta a falar com o ACS depois do reset (o que depende de como o apontamento foi feito), o sistema identifica o equipamento, consulta o preset e reaplica a pré-configuração definida pelo provedor, com parâmetros como acesso web, DNS da WAN e da LAN, NTP e acesso remoto. A mesma tela lista os modelos que não suportam algum parâmetro, e ali já aparecem os equipamentos que vão precisar de outro tratamento.
Para o que fica fora da pré-configuração, como um serviço que o modelo só expõe na árvore TR-069, há dois caminhos. Em escala, o suporte técnico do IXC ACS executa a alteração de parâmetros em massa a pedido do provedor, com envio no próximo inform de cada equipamento e relatório final com modelo, firmware, número de série e o que mudou. Caso a caso, o N2 pode pedir à assistente de IA que encontre e grave o parâmetro sem tela, e ela consulta antes as capacidades daquele modelo.
Checklist de higiene do parque de CPE
A higiene do parque de CPE começa pelo inventário e se mantém com revisão periódica.
- Levantar o parque por fabricante, modelo, hardware e firmware, destacando as versões antigas que concentram muitos equipamentos.
- Medir quantas CPEs ativas estão apontadas para o ACS. O que fica de fora não entra em nenhum item abaixo.
- Definir a política de senha de administração, sem senha de fábrica e sem senha única para o parque inteiro.
- Desligar a gerência web e remota pela WAN onde ninguém usa e checar, modelo a modelo, se DNS, SSDP/UPnP ou NTP respondem na interface externa.
- Fixar uma janela mensal de firmware, com lote de teste e horário de baixo tráfego.
- Resetar em bancada um equipamento de cada modelo e conferir o que volta configurado e o que não volta.
- Confirmar com a equipe de borda que o antispoofing de saída está ativo.
- Repetir a revisão a cada trimestre, porque modelo novo entra na base o tempo todo.
Perguntas frequentes
Roteador do cliente pode ser usado em ataque DDoS? Pode. O CERT.br inclui CPEs, roteadores Wi-Fi e modems entre os equipamentos usados em botnets, e muitos saem de fábrica com DNS e SSDP habilitados, serviços que servem para amplificação.
Atualizar o firmware das CPEs resolve o DDoS? O ataque em andamento continua sendo mitigado na borda e no upstream. A atualização reduz quantos equipamentos da sua base podem ser recrutados, então ajuda no médio prazo, junto com a mitigação.
O que é proxy residencial em ataque DDoS? É uma rede de dispositivos domésticos, como TVs, câmeras e celulares com certos aplicativos, que repassa tráfego de terceiros pelo IP da casa do assinante. Segundo a NETSCOUT, isso deixa o tráfego de ataque parecido com demanda legítima.
O provedor é responsável pelo roteador em comodato usado num ataque? Depende do contrato e das cláusulas de comodato, então a resposta precisa vir do seu jurídico. Na parte técnica, o equipamento em comodato é do provedor, e é ele quem decide como atualizar e padronizar.
Por onde começar na sua operação
Comece por dois números que quase ninguém tem de cabeça: quantas versões de firmware diferentes rodam hoje no parque e quantas CPEs ativas estão apontadas para o ACS. Com eles dá para estimar o tamanho do trabalho e atacar primeiro os modelos que juntam muitos equipamentos e firmware antigo. A conversa sobre mitigação e antispoofing com a equipe de borda corre em paralelo, com outro orçamento e outro prazo.
Se quiser ver a atualização de firmware em massa e a reconfiguração automática no seu parque, clique no botão abaixo e fale com a nossa equipe.