DDoS. Offline without a break-in. DDoS. Offline zonder inbraak.

A distributed denial of service attack is not a break-in. It is a crowd. Hundreds of thousands of hijacked devices — home routers, cameras, rented servers — all send traffic to us at once. Our internet connection has a fixed size; theirs, combined, is far larger. The line fills up with junk and the genuine customer trying to place an order never reaches us. Nothing is breached, nothing is encrypted, and yet we are gone.

Business impact: every hour offline is lost orders, missed logins, staff who cannot work, and customers who quietly try the competitor. The uncomfortable part: no amount of security inside our building helps. The attack lands before our firewall ever sees it. Only capacity in front of us — someone else's, bigger than any attacker — absorbs it.

Een distributed denial of service-aanval is geen inbraak. Het is een menigte. Honderdduizenden gekaapte apparaten — thuisrouters, camera's, gehuurde servers — sturen tegelijk verkeer naar ons. Onze internetverbinding heeft een vaste maat; die van hen, opgeteld, is veel groter. De lijn loopt vol met rommel en de echte klant die een bestelling wil plaatsen bereikt ons nooit. Er is niets gekraakt, niets versleuteld, en toch zijn we weg.

Bedrijfsimpact: elk uur offline is gemiste omzet, mislukte inlogs, medewerkers die niet kunnen werken, en klanten die stilletjes de concurrent proberen. Het ongemakkelijke deel: geen enkele beveiliging binnen ons gebouw helpt hier. De aanval slaat toe voordat onze firewall hem ooit ziet. Alleen capaciteit vóór ons — van een ander, groter dan welke aanvaller ook — vangt hem op.

The second kind is quieter and harder to spot. The traffic is small, but every request is expensive for us: a product search, a login attempt, a “forgot password” form, a report download. Each one looks like a legitimate visitor, and each one makes our servers do real work. A modest number of bots asking the most expensive questions grinds the application to a halt while the connection itself looks almost idle.

Business impact: the site is “up” on every dashboard and unusable for every customer. Cloud bills spike as systems scale to serve the fake crowd. Because the requests look genuine, blocking them blindly also blocks real customers. The fix is telling humans from bots and rate-limiting the expensive actions — not more servers.

De tweede soort is stiller en moeilijker te herkennen. Het verkeer is klein, maar elk verzoek is duur voor ons: een productzoekopdracht, een inlogpoging, een “wachtwoord vergeten”-formulier, een rapportdownload. Elk verzoek lijkt op een echte bezoeker, en elk verzoek laat onze servers echt werk doen. Een bescheiden aantal bots dat de duurste vragen stelt legt de applicatie plat, terwijl de verbinding zelf bijna leeg lijkt.

Bedrijfsimpact: de site is “in de lucht” op elk dashboard en onbruikbaar voor elke klant. De cloudrekening schiet omhoog omdat systemen opschalen voor het nepbezoek. Omdat de verzoeken echt lijken, blokkeert blind blokkeren ook echte klanten. De oplossing is mensen van bots onderscheiden en de dure handelingen begrenzen — niet meer servers.

Before a customer reaches our website, their device asks the internet's address book — DNS — where we are. If the company that answers that question is under attack, or simply has an outage, our website, our email and our customer app all vanish at once, even though every one of them is running perfectly. The same applies to any single shared piece: one hosting provider, one login service, one payment gateway.

Business impact: this is the failure that takes down everything in one go, and it is usually invisible on the risk register because “we didn't buy it, it just came with the domain”. Two independent DNS providers, and a written map of which supplier every customer-facing service depends on, turn a total blackout into a partial one.

Voordat een klant onze website bereikt, vraagt zijn apparaat aan het adresboek van internet — DNS — waar wij zijn. Als het bedrijf dat die vraag beantwoordt wordt aangevallen, of simpelweg een storing heeft, verdwijnen onze website, onze e-mail en onze klantenapp in één keer, terwijl elk daarvan perfect draait. Hetzelfde geldt voor elk ander gedeeld onderdeel: één hostingprovider, één inlogdienst, één betaaldienst.

Bedrijfsimpact: dit is de storing die alles tegelijk neerhaalt, en hij staat meestal niet in het risicoregister omdat “we het niet gekocht hebben, het zat bij het domein”. Twee onafhankelijke DNS-providers, en een geschreven kaart van welke leverancier elke klantgerichte dienst nodig heeft, maken van een totale black-out een gedeeltelijke.

Attack capacity is rented by the hour, so attackers pick the hour that hurts most: the product launch, the ticket sale, the last week of the quarter, the Saturday before Christmas. The pattern is a short demonstration attack, then an email: pay, or it continues. Paying proves we pay. It puts us on a list, and the next demand arrives before the next peak.

Business impact: the decision about paying is a board decision, and it must be made before the email arrives, not during. With the mitigation from steps 01 to 03 in place and tested, the answer is a calm no. Without it, the answer is being argued in a crisis call at 03:00 while the revenue counter sits at zero.

Aanvalscapaciteit wordt per uur gehuurd, dus aanvallers kiezen het uur dat het meest pijn doet: de productlancering, de kaartverkoop, de laatste week van het kwartaal, de zaterdag voor kerst. Het patroon is een korte proefaanval, daarna een e-mail: betaal, of het gaat door. Betalen bewijst dat we betalen. Het zet ons op een lijst, en de volgende eis komt vóór de volgende piek.

Bedrijfsimpact: de beslissing over betalen is een directiebeslissing, en die moet genomen zijn vóór de e-mail komt, niet tijdens. Met de maatregelen uit stap 01 tot 03 op hun plek en getest, is het antwoord een rustig nee. Zonder die maatregelen wordt het antwoord bevochten in een crisisoverleg om 03:00 terwijl de omzetteller op nul staat.