Operazione PowerOFF: sequestrati 53 domini DDoS-for-hire, 4 arresti e 3 milioni di account nel mirino

Una vasta operazione internazionale di contrasto al cybercrime ha colpito in modo diretto il mercato dei servizi DDoS for hire, spesso chiamati booter o stresser, strumenti usati per lanciare attacchi di tipo Distributed Denial of Service contro siti web, server e reti. L’iniziativa, nota come Operation PowerOFF, ha portato al sequestro di 53 domini legati a infrastrutture DDoS commerciali e all’arresto di quattro persone, interrompendo l’accesso a piattaforme utilizzate da oltre 75.000 utenti coinvolti in attività illecite.

L’azione non si è limitata alla chiusura dei siti. Le autorità hanno anche colpito la componente tecnica che rende possibili questi attacchi, come server e database, ottenendo l’accesso ad archivi contenenti più di 3 milioni di account riconducibili a utilizzatori dei servizi. In parallelo sono state avviate attività di notifica, con email e lettere di avvertimento inviate agli utenti identificati, e sono stati emessi 25 mandati di perquisizione. Questo approccio mira a ridurre la domanda, oltre che a smantellare l’offerta, aumentando il rischio percepito da chi cerca servizi DDoS a pagamento.

Hanno partecipato 21 Paesi, tra cui Stati Uniti, Regno Unito, Germania, Paesi Bassi, Svezia, Giappone e Australia, a conferma di quanto il fenomeno DDoS sia transnazionale. I booter services sono considerati una delle tendenze più accessibili del crimine informatico perché abbassano la barriera tecnica. Anche chi ha poche competenze può acquistare un attacco e causare interruzioni operative, rallentamenti e in alcuni casi il completo blocco di servizi online, con impatti su aziende, enti e piattaforme pubbliche.

Le motivazioni dietro un attacco DDoS possono variare: estorsione e richieste di riscatto, hacktivism, competizione sleale, oppure semplice curiosità. Alcuni operatori cercano di mascherare la natura illegale dei servizi presentandoli come strumenti di stress test, ma l’utilizzo per colpire terzi resta un reato e lascia tracce utili alle indagini.

In un filone collegato, negli Stati Uniti sono state effettuate azioni autorizzate dal tribunale per disturbare servizi botnet IoT impiegati per DDoS potenti, con sequestri di domini associati a piattaforme note come vacstresser e mythicalstress. I visitatori vedono ora banner che ricordano che gli attacchi DDoS sono illegali e che database e clienti possono essere identificati, investigati e perseguiti.