Ataques DDoS: cada vez más fáciles de hacer (y de sufrir)

Hace casi un mes el cliente más pesado de la empresa llamo a los jefes gritando que su sitio web estaba "hackeado". Cuando revisamos los logs del servidor, no había hack: era un ataque DDoS masivo que había tumbado el sitio durante tres horas.

Lo más preocupante no era el ataque en sí, sino lo fácil que aparentemente había sido ejecutarlo. Mientras investigaba, me di cuenta de algo que me tiene inquieto: hacer ataques DDoS se ha vuelto ridículamente simple. Ya no necesitas ser un genio de la programación ni tener acceso a supercomputadoras.

Cualquier adolescente con 50 dólares y una conexión a internet puede tumbar sitios web enteros. Y eso debería darnos miedo a todos.

Qué son los ataques DDoS (para los que no son técnicos)

DDoS significa "Distributed Denial of Service", que en español sería algo como "Denegación Distribuida de Servicio". Suena complicado, pero la idea es simple.

Imagínate que tienes una tienda pequeña con una puerta normal. Un día, mil personas llegan al mismo tiempo queriendo entrar. La puerta se bloquea, nadie puede pasar, y tu tienda efectivamente se cierra aunque no esté dañada.

Eso es exactamente lo que hace un DDoS a un sitio web. Miles o millones de computadoras envían peticiones al mismo tiempo hasta que el servidor se satura y deja de responder a usuarios legítimos.

La diferencia con un DoS normal

Un ataque DoS (sin la D) sería como si una sola persona muy gorda se pusiera en la puerta de tu tienda bloqueando la entrada. Fácil de identificar y relativamente fácil de solucionar.

Un DDoS es como si mil personas normales llegaran al mismo tiempo desde direcciones diferentes. Mucho más difícil de distinguir de tráfico legítimo y casi imposible de parar bloqueando una sola dirección.

Por qué ahora es más fácil que nunca

Cuando empecé a trabajar con servidores web hace unos años, hacer un DDoS requería conocimientos técnicos serios. Tenías que programar tu propio bot, conseguir acceso a múltiples computadoras, y coordinar todo manualmente.

Ahora es diferente. Muy diferente.

Servicios DDoS como servicio

Sí, leíste bien. Ya existen servicios online donde literalmente puedes pagar para tumbar un sitio web. Los llaman "booters" o "stressers" y se esconden detrás de la excusa de que son para "probar la resistencia de tu propio servidor".

Con 20 dólares puedes alquilar una botnet por una hora. Con 50 dólares puedes tenerla por un día completo. Es más barato que ir al cine.

Herramientas gratuitas cada vez más sofisticadas

LOIC (Low Orbit Ion Cannon) es probablemente la herramienta DDoS más conocida para usuarios normales. Es gratuita, tiene interfaz gráfica, y cualquier persona puede descargarla y usarla en 5 minutos.

Lo aterrador es que LOIC es la versión "para dummies" de esto. Hay herramientas mucho más sofisticadas disponibles gratuitamente que pueden hacer ataques más inteligentes y más difíciles de detectar.

Botnets más grandes y más baratas

Una botnet es una red de computadoras infectadas con malware que pueden ser controladas remotamente. Antes, construir una botnet tomaba meses o años.

Ahora puedes comprar acceso a botnets existentes por precios ridículos. Hay mercados underground donde 1000 computadoras infectadas cuestan menos que una cena en un restaurante decente.

Los diferentes tipos de DDoS

No todos los ataques DDoS son iguales. Algunos van dirigidos a tumbar el servidor, otros a saturar la conexión a internet, y otros a agotar recursos específicos.

Ataques volumétricos

Estos intentan saturar tu conexión a internet enviando enormes cantidades de tráfico. Es como intentar tomar agua de una manguera de bomberos: no importa qué tan rápido puedas procesar, hay demasiado volumen.

Los más comunes son:

• UDP floods: Envían miles de paquetes UDP a puertos aleatorios
• ICMP floods: Abusan del comando ping enviando millones de pings
• Amplification attacks: Usan servicios de terceros para amplificar el tráfico

Ataques de protocolo

Estos explotan debilidades en protocolos de internet para agotar recursos del servidor o equipment de red.

El más famoso es el SYN flood, que abusa del proceso de handshake TCP. El atacante envía miles de peticiones de conexión pero nunca las completa, dejando al servidor esperando y agotando sus recursos.

Ataques de capa de aplicación

Estos son los más elegantes y difíciles de detectar. En lugar de enviar tráfico basura, envían peticiones HTTP aparentemente legítimas pero diseñadas para agotar recursos del servidor.

Por ejemplo, hacer miles de búsquedas complejas en una base de datos, o solicitar archivos que requieren mucho procesamiento para generar.

Mi experiencia personal con esto

Como desarrollador web en Quito, he tenido que lidiar con varios ataques DDoS en los últimos meses. Algunos casos que me han marcado:

El cliente del ecommerce

Un sitio de comercio electrónico que administro recibió un ataque masivo justo durante el lanzamiento de una campaña navideña. El timing no era coincidencia: era claramente un competidor intentando sabotear las ventas.

El ataque duró 6 horas y les costó aproximadamente 15,000 dólares en ventas perdidas. Todo por algo que probablemente costó menos de 100 dólares ejecutar.

El blog político

Un blogger local que había escrito artículos controversiales sobre corrupción gubernamental empezó a recibir ataques DDoS sistemáticos cada vez que publicaba algo nuevo.

No era Anonymous ni ningún grupo organizado. Era alguien con acceso a herramientas básicas intentando silenciar opiniones que no le gustaban.

Mi propio aprendizaje

Confieso que para entender mejor estos ataques, instalé LOIC en una máquina virtual y probé contra un servidor de prueba que tengo. En 30 segundos tenía el servidor completamente saturado.

Fue educativo y aterrador a la vez. Si yo, que no soy experto en seguridad, puedo tumbar un servidor en medio minuto, cualquiera puede.

Por qué los proveedores de hosting no pueden salvarte

Mucha gente piensa que su proveedor de hosting los va a proteger automáticamente. La realidad es más complicada.

Hosting compartido es especialmente vulnerable

Si estás en hosting compartido (que es donde está la mayoría de sitios pequeños), un ataque DDoS contra cualquier sitio en tu servidor puede tumbar todos los demás sitios.

Los proveedores generalmente simplemente desconectan el sitio atacado para proteger el resto. Tu sitio puede terminar offline sin haber sido el objetivo directo.

Los límites de ancho de banda

Muchos planes de hosting tienen límites de ancho de banda. Un ataque DDoS puede hacer que excedas esos límites en minutos, resultando en cargos extra o suspensión del servicio.

He visto facturas de hosting que se dispararon de 50 dólares a 500 dólares en un solo día por culpa de un ataque.

Mitigation básica vs ataques modernos

Los proveedores de hosting suelen tener protección básica contra ataques simples, pero los ataques modernos son mucho más sofisticados.

Un ataque de amplificación DNS puede generar 50 veces más tráfico del que envía el atacante. Si el atacante tiene 10 Mbps, puede generar 500 Mbps de tráfico contra tu servidor. Pocos hostings están preparados para eso.

Cómo protegerte (sin gastar una fortuna)

No todo está perdido. Hay medidas que puedes tomar para protegerte, aunque ninguna es 100% infalible.

Servicios de protección DDoS

CloudFlare es probablemente la opción más conocida y accesible. Por 20 dólares al mes te dan protección básica contra la mayoría de ataques DDoS.

No es perfecto, pero filtra mucho del tráfico malicioso antes de que llegue a tu servidor. Para sitios pequeños y medianos, suele ser suficiente.

Rate limiting a nivel de servidor

Configurar límites de peticiones por IP puede ayudar contra ataques simples. Si una IP hace más de 100 peticiones por minuto, bloquearla temporalmente.

Esto no para ataques distribuidos masivos, pero sí ayuda contra script kiddies usando herramientas básicas.

Monitoring y alertas

Tener sistemas que te alerten cuando el tráfico o uso de recursos se dispara puede ayudarte a reaccionar rápido.

Una respuesta rápida puede ser la diferencia entre 10 minutos de downtime y 3 horas.

El lado legal (que casi nadie entiende)

Hacer ataques DDoS es ilegal en la mayoría de países, pero eso no detiene a nadie porque las posibilidades de ser atrapado son mínimas.

Jurisdicciones complicadas

Si el atacante está en otro país, perseguirlo legalmente es casi imposible. Los procesos internacionales toman años y cuestan miles de dólares.

Para ataques pequeños contra sitios pequeños, simplemente no vale la pena el proceso legal.

Anonimato fácil

Con VPNs, Tor, y proxies, identificar al atacante real es extremadamente difícil. Especialmente si usan botnets que ya están distribuidas globalmente.

Evidencia volátil

Los logs de servidor que demuestran un ataque DDoS suelen sobrescribirse rápidamente. Si no los guardas inmediatamente, pierdes la evidencia.

Lo que me preocupa del futuro

La tendencia hacia ataques DDoS más fáciles y más baratos no va a revertirse. Varias cosas me tienen especialmente preocupado.

Internet de las Cosas (IoT)

Cada vez hay más dispositivos conectados a internet: cámaras de seguridad, routers, hasta refrigeradoras. La mayoría tienen seguridad terrible y pueden ser infectados fácilmente.

Una botnet compuesta de millones de dispositivos IoT infectados sería devastadora. Y es solo cuestión de tiempo.

Ataques como activismo

Anonymous y otros grupos están normalizando los ataques DDoS como forma de protesta. Esto está creando una cultura donde tumbar sitios web se ve como activismo legítimo.

El problema es que las herramientas no distinguen entre objetivos "legítimos" y sitios de gente inocente.

Comercialización del crimen

Los servicios DDoS-as-a-Service están convirtiendo esto en un negocio organizado. Hay customer support, garantías de uptime, y hasta programas de referidos.

Cuando el crimen cibernético se vuelve tan profesional, sabemos que estamos en problemas serios.

Reflexiones desde el lado del desarrollador

Como alguien que construye sitios web, esta situación me pone en una posición incómoda. Tengo que explicar a clientes por qué su sitio puede ser tumbado por un adolescente con 50 dólares, y por qué la protección completa cuesta más que todo su budget de desarrollo.

También me preocupa que estemos normalizando esto. Cada vez más clientes asumen que van a recibir ataques DDoS eventualmente, como si fueran parte natural de tener presencia online.

Eso no debería ser normal. Pero aparentemente es hacia donde vamos.

¿Has recibido algún ataque DDoS en tu sitio? ¿Qué medidas estás tomando para protegerte? Me da curiosidad saber qué tan común se está volviendo esto para sitios pequeños y medianos.