El ransom DDoS — RDoS, o extorsión por DDoS — es uno de los modelos de negocio criminal más simples de internet: amenazar con inundar a un objetivo salvo que pague, y cobrar de quienes se dejan llevar por el pánico. Funciona porque incluso las organizaciones con una seguridad razonable a menudo no tienen respuesta real a una inundación de 300 Gbps prometida para mañana por la mañana. Todo el esquema se sostiene sobre el miedo y un plazo, que es justo por lo que entender el guion desactiva la mayor parte.
El guion habitual
- Llega un correo amenazante, normalmente diciendo ser un grupo famoso ('Fancy Bear', 'Lazarus Group') — la atribución casi siempre es falsa.
- Se lanza un ataque de demostración corto, típicamente de 10–30 minutos, para probar que la amenaza es real.
- Sigue una exigencia en Bitcoin, a menudo de 1–5 BTC, con un plazo ajustado diseñado para impedir una decisión serena.
- O bien un ataque de seguimiento si no se paga — o, muy a menudo, nada en absoluto, porque buena parte de estas amenazas son puro farol.
Por qué nunca deberías pagar
- Pagar te marca como pagador, lo que garantiza más exigencias del mismo grupo y de otros.
- La exigencia a menudo escala justo después de que llega el primer pago.
- Tu dinero financia la infraestructura usada para atacar a la siguiente víctima.
- No hay garantía de que los ataques paren — los criminales no cumplen acuerdos.
La resiliencia es el único disuasorio
Un grupo de RDoS juega a los números. Si su ataque de demostración no causa disrupción, no vales su tiempo — pasan a un objetivo más blando. Lo que los hace marcharse es la resiliencia demostrada, no el pago.
La respuesta correcta
Cuando llega una amenaza de RDoS, haz cuatro cosas y sáltate el pánico. Asegúrate de que tu tráfico ya pasa por la protección antes de que empiece cualquier ataque — no durante. Conserva el correo y sus cabeceras para las fuerzas del orden. Repórtalo a tu CERT nacional. Y presenta una denuncia policial, que las aseguradoras y los fiscales querrán después. Si tu infraestructura ya está tras la protección, el ataque de demostración simplemente falla, y con él toda la ventaja del atacante.
Cómo elimina Akarguard la ventaja
El valor de Akarguard frente al RDoS es que convierte el ataque de demostración en un no-evento. Con tu dominio ya enrutado por el edge de proxy inverso, las inundaciones de capa de aplicación se filtran, la IP de tu origen queda oculta para que no pueda ser atacada directamente, y la mitigación automática escala en el momento en que empieza la demo — sin decisión humana a la peor hora posible. Cuando la prueba-de-capacidad del atacante no produce disrupción visible, la negociación termina antes de empezar. Configúralo antes de que llegue la amenaza, porque lo único que no puedes hacer es aprovisionar protección más rápido que un plazo que no elegiste.