# Em 2016, a botnet Mirai derrubou o DNS da Dyn e tirou do ar Twitter, Netflix e Spotify — Citeo > Em 21 de outubro de 2016, ataques de negação de serviço contra a Dyn, provedora de DNS, deixaram fora do ar ou instáveis Twitter, Netflix, Spotify, GitHub,... Fonte: https://mail.citeo.com.br/artigo/2016-mirai-e-o-ataque-ao-dns-da-dyn · Atualizado em 21/10/2026 [Início](https://mail.citeo.com.br) [Insights](https://mail.citeo.com.br/blog) [Segurança](https://mail.citeo.com.br/blog/seguranca) Retrospectiva 2016 · Segurança# Em 2016, a botnet Mirai derrubou o DNS da Dyn e tirou do ar Twitter, Netflix e Spotify **Redação Citeo** Publicado em 31/12/2016 Revisado em 17/10/2026 **Período analisado: 2016** 3 min de leitura Resposta rápidaEm 21 de outubro de 2016, ataques de negação de serviço contra a Dyn, provedora de DNS, deixaram fora do ar ou instáveis Twitter, Netflix, Spotify, GitHub, PayPal e outros serviços. A botnet Mirai, formada por câmeras e gravadores conectados com senhas de fábrica, foi apontada como responsável. Em 21 de outubro de 2016, uma sexta-feira, uma série de ataques distribuídos de negação de serviço (DDoS) atingiu a infraestrutura de DNS gerenciado da Dyn, empresa que traduz nomes de domínio em endereços IP para grandes clientes. Como resultado, serviços como Twitter, Netflix, Spotify, Reddit, GitHub, PayPal, Shopify e Etsy ficaram fora do ar ou instáveis, principalmente na costa leste dos Estados Unidos. Segundo o DatacenterDynamics, a empresa Flashpoint atribuiu o ataque a uma botnet Mirai, malware que procura dispositivos de internet das coisas com senhas de fábrica ou fixas e assume o controle deles. O episódio virou o exemplo mais citado de como equipamentos baratos e mal protegidos podem afetar serviços usados por milhões de pessoas. ## Como o ataque se desenrolou? Segundo o DatacenterDynamics, a Dyn começou a mitigar o ataque às 11h10 UTC e informou o restabelecimento às 13h20 UTC, mas novas ondas ocorreram ao longo do dia. O Christian Science Monitor relatou três ataques: o primeiro, pela manhã; o segundo, mais tarde, que derrubou os sites de novo; e um terceiro, depois do qual o problema foi controlado. AspectoO que foi relatadoData21 de outubro de 2016AlvoInfraestrutura de DNS gerenciado da DynRegião mais afetadaCosta leste dos Estados UnidosServiços afetadosTwitter, Netflix, Spotify, Reddit, SoundCloud, GitHub, Heroku, PayPal, Shopify, Etsy, PlayStation, entre outrosEfeito na AWSErros de resolução de DNS nas regiões US-EAST-1 e EU-WEST-1 por períodos do diaFerramentaBotnet Mirai, segundo a Flashpoint A AWS atribuiu os erros a um evento de disponibilidade de um provedor de DNS terceiro e informou que suas funções principais continuaram operando. ## O que era a Mirai? Segundo as reportagens, a Mirai assume o controle de dispositivos conectados, como câmeras de segurança e gravadores digitais de vídeo (DVRs), e os transforma numa botnet, rede de equipamentos comprometidos usada em ataques coordenados. O código-fonte havia sido divulgado semanas antes por um hacker conhecido como "Anna\_Senpai", o que permitia que outros o copiassem. Os autores do ataque não haviam sido identificados quando as reportagens foram publicadas. Casey Ellis, CEO da Bugcrowd, disse ao Christian Science Monitor que a segurança da internet das coisas era "terrivelmente falha desde que surgiu". O DatacenterDynamics lembrou que, pouco antes, um ataque de 620 Gbps contra o jornalista Brian Krebs havia sido o maior registrado, e que outro contra a OVH teria quase dobrado esse volume. ## Como isso se conectava ao Brasil? No mesmo ano, o CERT.br registrou alta de 138% nas notificações de negação de serviço no Brasil, para 60.432, a maioria envolvendo dispositivos IoT infectados que faziam parte de botnets, e observou que varreduras em Telnet buscavam esses equipamentos. Em 2017, as notificações de DoS chegariam a 220.188. ## Que lições o caso deixou? 1. **Dependência de terceiros**: empresas sem falha própria ficaram fora do ar porque seu provedor de DNS foi atacado. 2. **Senhas padrão são vulnerabilidade sistêmica**: dispositivos com credenciais de fábrica foram recrutados em massa. 3. **Redundância de DNS**: usar mais de um provedor de DNS reduz o risco de indisponibilidade total. 4. **Código aberto de malware acelera ataques**: a divulgação do código da Mirai facilitou cópias. ## O que isso significa hoje para quem contrata infraestrutura e segurança? Ao contratar hospedagem, DNS ou uma empresa de cibersegurança, vale mapear dependências críticas, como DNS, CDN e provedores de nuvem, e perguntar como o fornecedor lida com a indisponibilidade de cada uma. Para dispositivos conectados da própria empresa, como câmeras e roteadores, a regra básica continua válida: trocar senhas de fábrica, atualizar firmware e não expor serviços desnecessários à internet. ## Fontes - [DatacenterDynamics: Major DDoS attack on Dyn disrupts AWS, Twitter, Spotify and more (out. 2016)](https://www.datacenterdynamics.com/content-tracks/security-risk/major-ddos-attack-on-dyn-disrupts-aws-twitter-spotify-and-more/97176.article) - [The Christian Science Monitor: How Friday's cyberattack shut down Netflix, Twitter, and Spotify (23 out. 2016)](https://www.csmonitor.com/Technology/2016/1023/How-hackers-shut-down-Netflix-Twitter-and-Spotify) - [CERT.br: Incidentes reportados em 2016, análise de alguns fatos de interesse](https://stats.cert.br/historico/incidentes/2016-jan-dec/analise.html) **Encontre cybersegurança verificadas**Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo. [Ver empresas ](https://mail.citeo.com.br/empresas/cyber) [Comparar empresas lado a lado](https://mail.citeo.com.br/comparar) ## Perguntas frequentes ### O que aconteceu no ataque à Dyn em 2016? Em 21 de outubro de 2016, ataques de negação de serviço contra a infraestrutura de DNS da Dyn deixaram serviços como Twitter, Netflix, Spotify, GitHub e PayPal fora do ar ou instáveis, sobretudo na costa leste dos Estados Unidos. ### O que é a botnet Mirai? É um malware que procura dispositivos de internet das coisas, como câmeras e gravadores de vídeo, que usam senhas de fábrica ou fixas, assume o controle deles e os usa em ataques coordenados. Seu código-fonte foi divulgado em 2016. ### Por que um ataque a um provedor de DNS derruba vários sites? Porque o DNS traduz nomes de domínio em endereços IP. Se o provedor de DNS de um site fica indisponível, os usuários não conseguem localizar o endereço do serviço, mesmo que os servidores do site estejam funcionando. ## Leia também [](https://mail.citeo.com.br/artigo/backup-3-2-1-e-recuperacao-de-desastres) Segurança### [Backup 3-2-1 e recuperação de desastres: o mínimo que toda empresa precisa](https://mail.citeo.com.br/artigo/backup-3-2-1-e-recuperacao-de-desastres) 18 de out · 5 min de leitura [](https://mail.citeo.com.br/artigo/bug-bounty-vale-a-pena) Segurança### [Programa de bug bounty vale a pena? Quando faz sentido e como começar](https://mail.citeo.com.br/artigo/bug-bounty-vale-a-pena) 18 de out · 5 min de leitura [](https://mail.citeo.com.br/artigo/comunicacao-de-incidente-a-anpd) Segurança### [Comunicação de incidente de segurança à ANPD: prazos e o que informar](https://mail.citeo.com.br/artigo/comunicacao-de-incidente-a-anpd) 18 de out · 6 min de leitura [](https://mail.citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados) Segurança### [Incidentes de segurança no Brasil: o que mostram os dados públicos](https://mail.citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados) 18 de out · 6 min de leitura