DDoS : le FBI démantèle NightmareStresser, géant du « DDoS à la demande »

Les États-Unis ont porté un nouveau coup à la cybercriminalité. Le FBI et le département de la Justice ont saisi les noms de domaine de NightmareStresser, l’un des plus anciens services de « DDoS à la demande » au monde. Les adresses nightmare-stresser.com et nightmarestresser.org affichent désormais le bandeau de saisie des autorités fédérales. L’annonce a été faite par la division Cyber du FBI le 16 septembre 2026.

Ce type de plateforme permettait à n’importe qui de lancer une attaque par déni de service sans compétences techniques particulières.

Un « booter » loué par plus de 500 000 pirates

NightmareStresser appartient à la catégorie des « booters » ou « stressers » : ces services louent un vaste réseau d’appareils compromis — surtout des routeurs et des objets connectés — pour submerger un site de trafic malveillant jusqu’à le mettre hors ligne. La plateforme se présentait comme le « numéro 1 des IP booters » et « le seul outil DDoS disponible 24 h/24 ».

Selon des chiffres relevés en 2023 par la société Searchlight Cyber, elle comptait plus de 566 000 utilisateurs inscrits, s’appuyait sur 52 serveurs dédiés et pouvait générer des attaques allant jusqu’à 200 Gbps. D’après la Justice américaine, le service a servi à lancer des « centaines de milliers d’attaques DDoS » depuis 2022, visant des établissements scolaires, des administrations, des plateformes de jeux vidéo et des millions de particuliers.

Déjà tombé en 2022, puis reconstruit

Ce n’est pas la première offensive contre NightmareStresser. En décembre 2022, la justice américaine avait déjà saisi le domaine nightmarestresser.com et arrêté six suspects. La plateforme s’était ensuite reconstituée, ce qui a conduit à cette seconde opération en septembre 2026.

L’opération PowerOFF et l’explosion des DDoS

Cette saisie s’inscrit dans l’opération internationale PowerOFF, lancée en 2018 par une coalition de forces de l’ordre (dont les États-Unis et le Royaume-Uni) pour traquer les services de DDoS à la demande ; elle avait déjà fait tomber des plateformes comme DigitalStress. Le contexte est celui d’une flambée des attaques : entre janvier et juin 2026, Cloudflare indique avoir bloqué 23,2 millions d’attaques DDoS, dont de nombreuses attaques hypervolumétriques dépassant 1 Tbps.

Source : 01net, article du 19 septembre 2026.