L’opération PowerOFF a franchi une nouvelle étape le 16 avril 2026. Europol a annoncé ce jour-là les résultats d’une semaine d’action contre les plateformes qui vendent des attaques par déni de service distribué (DDoS). Vingt et un pays y ont participé. Au total, le bilan compte quatre arrestations, 53 domaines mis hors ligne, 25 mandats de perquisition et plus de 75 000 utilisateurs avertis par courriel ou par courrier.
La France ne figure pas parmi les pays participants. Vos services en ligne restent pourtant à la portée de ces outils, pour le prix d’un abonnement mensuel.
Ce que l’opération PowerOFF a démantelé
Les pays participants comptent notamment l’Allemagne, les Pays-Bas, la Belgique, la Pologne, les États-Unis, le Royaume-Uni, le Japon, l’Australie et le Brésil. L’opération dure depuis près de dix ans. Les phases précédentes avaient déjà permis de saisir des bases de données contenant plus de trois millions de comptes d’utilisateurs criminels.
Les services visés se présentent souvent comme des outils de test de charge, appelés « stresser » ou « booter ». En pratique, ils ne vérifient pas que le client possède la cible. N’importe qui peut donc lancer une attaque contre le site d’un tiers.
Les prix expliquent en effet leur succès. Selon un agent du FBI cité par The Record, un abonnement à Mythical Stress coûtait 45 dollars par mois pour des attaques de 40 minutes contre trois adresses à la fois. La formule la plus chère montait à 950 dollars par mois. Mythical Stress et Vac Stresser figurent parmi les huit sites saisis par les autorités américaines.
Les victimes sont variées. Selon le ministère américain de la Justice, ces services ont visé des écoles, des administrations, des plateformes de jeu et des infrastructures critiques. Europol ouvre désormais une phase de prévention : publicités ciblant les jeunes qui cherchent ces outils, retrait de plus de 100 adresses des moteurs de recherche, messages d’avertissement liés aux paiements.
Attaque DDoS et RGPD : la disponibilité compte aussi
Une attaque DDoS ne vole pas de données. En revanche, elle rend un service inaccessible. Or l’article 32 du RGPD cite expressément la disponibilité et la résilience des systèmes parmi les objectifs de sécurité. Par exemple, un portail usagers paralysé empêche les personnes de consulter leurs dossiers. Elles ne peuvent plus exercer leurs droits.
Une indisponibilité peut donc constituer une violation de données lorsqu’elle prive les personnes de l’accès à leurs informations. L’article 33 impose alors de la notifier à la CNIL dans les 72 heures, sauf si le risque pour les personnes est improbable. Toutefois, une coupure de quelques minutes sur un site vitrine ne relève pas du même traitement qu’un accès bloqué aux dossiers médicaux. De plus, l’article 34 exige d’informer les personnes lorsque le risque est élevé.
Dans tous les cas, l’article 33, paragraphe 5, impose de documenter la violation, même non notifiée. Le module violations de DPO Suite sert précisément à tenir ce registre. Pour la démarche complète, suivez notre tutoriel pour notifier une violation.
NIS2 et la gestion du risque DDoS
La directive NIS2 élargit le nombre d’entités soumises à des obligations de cybersécurité : collectivités, santé, services numériques, nombreux industriels. En avril 2026, sa transposition en droit français attend toujours son examen à l’Assemblée nationale.
Concrètement, la directive exige la gestion des incidents, la continuité des activités, la sécurité de la chaîne d’approvisionnement et une politique de gestion des risques. Elle prévoit aussi la supervision des entités concernées et des amendes administratives. Une fois la loi adoptée, une attaque DDoS mal anticipée pèsera donc au-delà du seul préjudice opérationnel.
Préparer votre organisme à une attaque DDoS
Cartographiez d’abord vos services exposés sur Internet et classez-les par criticité. Pour les plus sensibles, demandez à votre hébergeur quelle protection anti-DDoS il place en amont de votre infrastructure.
Rédigez ensuite un plan de réponse. Il fixe le rôle de chaque équipe et les contacts techniques chez l’hébergeur. Il prévoit aussi le message à publier sur un canal de secours et la procédure de notification à la CNIL. Pour structurer ce plan, appuyez-vous sur notre article consacré à l’organisation de crise lors d’une violation de données.
Entraînez aussi régulièrement vos équipes à repérer une montée anormale de trafic. De même, conservez les journaux assez longtemps pour analyser l’incident après coup.
Enfin, rappelez à vos collaborateurs, et en particulier aux plus jeunes, que ces services sont illégaux. Europol mène d’ailleurs des campagnes de prévention auprès des jeunes sur l’illégalité de ces outils. Une attaque louée pour perturber la partie en ligne d’un camarade reste une attaque.
Sources
Le communiqué d’Europol s’intitule Europol-supported global operation targets over 75 000 users engaged in DDoS attacks.
Les chiffres de l’opération et la phase de prévention sont repris par BleepingComputer dans Operation PowerOFF identifies 75k DDoS users, takes down 53 domains.
La liste complète des 21 pays figure dans l’article de SecurityWeek 53 DDoS Domains Taken Down by Law Enforcement.
Les prix des abonnements et les saisies américaines sont détaillés par The Record dans Four arrested in latest ‘PowerOFF’ DDoS-for-hire takedown.
L’état de la transposition de NIS2 est suivi par Next dans Caramba, encore raté : la transposition de NIS2 est de nouveau repoussée.
Les mesures de gestion des risques et les amendes administratives figurent aux articles 21 et 34 de la directive (UE) 2022/2555, dite NIS2, et les articles 32 à 34 du RGPD dans le règlement (UE) 2016/679.
Questions fréquentes
Qu’est-ce que l’opération PowerOFF ?
L’opération PowerOFF est une action internationale soutenue par Europol contre les plateformes de DDoS à la demande, menée depuis près de dix ans.
Sa phase annoncée le 16 avril 2026 a réuni 21 pays et abouti à quatre arrestations.
Qu’est-ce qu’un service DDoS à la demande ?
Un service DDoS à la demande loue la puissance d’un réseau de machines pour saturer un site ou un serveur choisi par le client.
Ces plateformes se présentent souvent comme des outils de test de charge, appelés stresser ou booter, sans vérifier que le client possède la cible.
Une attaque DDoS est-elle une violation de données au sens du RGPD ?
Oui, lorsqu’elle prive les personnes de l’accès à leurs données, une attaque DDoS peut constituer une violation de données.
Notifiez-la donc à la CNIL dans les 72 heures, sauf risque improbable.
Utiliser un booter pour un jeu en ligne est-il illégal ?
Oui, Europol considère ces services comme illégaux et mène des campagnes de prévention auprès des jeunes qui les cherchent.
Ainsi, plus de 75 000 utilisateurs ont reçu un avertissement par courriel ou par courrier lors de la dernière phase de l’opération PowerOFF.
La France a-t-elle participé à l’opération PowerOFF d’avril 2026 ?
Non, la France ne figure pas parmi les 21 pays participants cités par les sources.
L’opération a notamment réuni l’Allemagne, la Belgique, les Pays-Bas, la Pologne, les États-Unis, le Royaume-Uni et le Japon.
