Operation PowerOFF : 53 domaines DDoS-for-hire démantelés

Les faits

Europol a annoncé le 16 avril 2026 la conclusion d'une nouvelle phase d'Operation PowerOFF, l'action internationale dirigée contre l'écosystème du DDoS-as-a-service. Vingt-et-un pays y ont participé : Australie, Autriche, Belgique, Brésil, Bulgarie, Danemark, Estonie, Finlande, Allemagne, Japon, Lettonie, Lituanie, Luxembourg, Pays-Bas, Pologne, Portugal, Suède, Thaïlande, Royaume-Uni et États-Unis. Le bilan s'établit à 53 domaines saisis, autant de plateformes de type booter ou stresser qui commercialisaient des attaques par déni de service distribué en abonnement, pour quelques dizaines d'euros par mois. Ces services, accessibles sans compétence technique particulière, alimentent l'essentiel des campagnes DDoS visant serveurs de jeu, sites institutionnels et infrastructures d'entreprise. Coordonnée depuis La Haye avec Eurojust et le J-CAT, l'Operation PowerOFF DDoS Europol confirme une stratégie de perturbation continue : frapper l'offre commerciale, identifier les administrateurs et dissuader les clients, dont beaucoup restent de très jeunes utilisateurs.

L'opération a donné accès à des bases de données totalisant plus de 3 millions de comptes criminels. Plus de 75 000 utilisateurs identifiés comme ayant commandité des attaques DDoS via ces plateformes ont reçu un courrier ou un email d'avertissement des forces de l'ordre de leur pays. La démarche mélange dissuasion individuelle et démantèlement d'infrastructure, approche désormais récurrente pour PowerOFF lancée initialement en 2018.

Impact et exposition

Les "booters" et "stressers" restent la porte d'entrée la plus fréquente vers la cybercriminalité : un simple abonnement à moins de 20 € par mois permet à un adolescent de lancer des attaques volumétriques jusqu'à plusieurs centaines de Gbps contre un serveur de jeu, un concurrent commercial ou une infrastructure institutionnelle. Les 3 millions de comptes révèlent l'ampleur réelle du vivier : la majorité sont des acheteurs occasionnels, pas des opérateurs techniques. Pour les entreprises exposées sur Internet, la saisie des 53 domaines offre un répit temporaire, car de nouveaux services apparaissent en quelques semaines.

Recommandations

• Souscrire un service anti-DDoS volumétrique (scrubbing ou anycast) devant toute application exposée.
• Mettre en place un rate-limiting applicatif et des captchas progressifs pour contrer les attaques L7.
• Tester trimestriellement la bascule vers le mode "sous attaque" (challenge JS, IP filtering dynamique).
• Documenter un runbook DDoS avec contacts opérateurs et seuils de déclenchement automatique.
• Surveiller les mentions de votre marque sur Telegram et Discord pour détecter les préparatifs d'attaque.

Sur les enjeux liés aux botnets IoT utilisés pour ces attaques, consultez notre dossier sur le démantèlement des botnets Aisuru et Kimwolf et notre article sur le record de 31 Tbps atteint en 2025.

• Surveiller les indicateurs de compromission (IOC) publiés par Europol et les CERT nationaux liés aux domaines saisis, afin de vérifier qu'aucune infrastructure interne n'a été utilisée à des fins de test ou de commande via ces plateformes.

Un précédent qui remonte à 2018

Operation PowerOFF n'est pas une action isolée : elle prolonge une stratégie lancée par Europol et le FBI dès avril 2018 avec la fermeture de Webstresser.org, alors le plus grand booter au monde avec plus de 136 000 utilisateurs enregistrés. Depuis, des vagues similaires ont eu lieu quasi chaque année — décembre 2022 (48 domaines saisis), mai 2023, et plusieurs opérations ciblées en 2024 et 2025 — sans jamais faire disparaître durablement le marché. Le schéma se répète : saisie de domaines, arrestations symboliques de quelques opérateurs, puis réapparition de services concurrents sous de nouveaux noms de domaine dans un délai de quelques semaines à quelques mois. La nouveauté de l'édition 2026 réside surtout dans l'ampleur de la base de données exploitée : 3 millions de comptes exposés constituent le plus grand corpus de renseignement jamais collecté sur les utilisateurs finaux de ces plateformes, bien au-delà des chiffres de Webstresser en 2018.

Sur le plan sectoriel, les booters restent majoritairement utilisés contre le gaming en ligne (rivalités entre joueurs, sabotage de serveurs concurrents), l'e-commerce lors de pics d'activité commerciale, et les établissements scolaires — un usage documenté de longue date par le NCA britannique et repris par Europol dans ses communications de sensibilisation. La dimension éducative de l'opération, avec l'envoi de courriers d'avertissement plutôt que des poursuites systématiques, cible en priorité ce public jeune afin de casser la trajectoire de récidive avant l'entrée dans la cybercriminalité organisée.

Les utilisateurs occasionnels de booters risquent-ils vraiment des poursuites ?

Oui, même pour un usage ponctuel. Dans la plupart des pays participants, commanditer une attaque DDoS via un service de booter constitue une infraction pénale au titre des législations sur l'accès et l'entrave frauduleuse à un système de traitement de données (en France, articles 323-1 à 323-3 du Code pénal). Les 75 000 courriers envoyés ne sont pas de simples avertissements informatifs : ils signalent aux destinataires que leur identité est désormais connue des forces de l'ordre, avec une matérialité juridique suffisante pour fonder des poursuites ultérieures en cas de récidive. Plusieurs pays, dont les Pays-Bas et le Royaume-Uni, ont par le passé engagé des poursuites contre des utilisateurs mineurs identifiés via ce type d'opération, avec des mesures allant du rappel à la loi à des peines de travaux d'intérêt général.

Faut-il se préparer à un rebond des DDoS après ces saisies ?

L'historique des opérations PowerOFF suggère un effet de dissuasion réel mais temporaire, suivi d'un rebond progressif de l'offre. Les opérateurs de booters non identifiés migrent rapidement leur infrastructure vers de nouveaux domaines, souvent hébergés dans des juridictions moins coopératives, et republient leurs services sous des marques différentes en quelques semaines. Pour les équipes sécurité, la fenêtre post-opération ne doit donc pas être interprétée comme une accalmie durable mais plutôt comme une période à risque : les opérateurs évincés cherchent parfois à démontrer leur capacité de nuisance résiduelle par des attaques opportunistes contre des cibles visibles.

Votre infrastructure résiste-t-elle à un DDoS ciblé ?

La question mérite d'être posée indépendamment de l'actualité judiciaire : la disponibilité de services de booters à moins de 20 €/mois signifie que la capacité de nuire dépasse largement la sophistication technique requise pour l'attaquant. Un test de résistance formel — simulation contrôlée en environnement de préproduction, vérification des seuils d'auto-scaling, validation du temps de bascule vers un mode dégradé — reste la seule façon fiable de valider qu'une architecture annoncée comme protégée l'est réellement en conditions réelles.