DeepSeek suspende nuevos registros tras el pico de una campaña de DDoS y fuerza bruta de un mes

Quién lo provocó

Actor: Desconocido

Atribución: Qi An Xin XLab dijo que las IP de ataque y fuerza bruta estaban ubicadas en Estados Unidos; no se nombró ningún grupo y DeepSeek no atribuyó el ataque.

Motivo: Desconocido; los analistas sugirieron la disrupción del recién popular servicio R1.

Cómo ocurrió

Vector de ataque: Tres fases: inundaciones por proxy HTTP desde el 3 de enero, amplificación por reflexión SSDP y NTP desde el 20 de enero, y luego ataques por proxy HTTP en la capa de aplicación y fuerza bruta de contraseñas con pico entre el 27 y el 28 de enero.

Causa raíz: La repentina demanda global de DeepSeek R1 superó la capacidad de mitigación de DDoS y de protección de cuentas de la startup.

Cronología

1. 3 ene 2025XLab observa los primeros presuntos ataques por proxy HTTP contra DeepSeek
2. 27 ene 2025Los ataques en la capa de aplicación se disparan; DeepSeek reporta rendimiento degradado de web y API
3. 28 ene 2025La página de estado de DeepSeek cita un ataque malicioso a gran escala y restringe el registro a números +86
4. 29 ene 2025The Paper publica el análisis de Qi An Xin XLab sobre las tres fases del ataque

Respuesta

DeepSeek cambió de direcciones IP a las 00:58 del 28 de enero, restringió los registros y restauró el servicio por etapas; no se confirmó robo de datos de usuarios.

Estado actual: Resuelto