A legislação específica para crimes virtuais no Brasil recentemente sofreu mudanças. Na verdade, ela passou a existir, já que anteriormente ela era inexistente.
Recentemente foram aprovados dois projetos de leis relacionados ao assunto. O primeiro deles é conhecido como Lei Carolina Dieckmann (Lei 12.737/12), especificando que invadir computadores ou outros dispositivos eletrônicos, conectados ou não à internet, é crime sujeito à prisão e multa. Antes dessa lei, o invasor poderia ser punido por furto de dados ou por danos à imagem da pessoa, que são crimes já previstos no Código Penal; agora, ele terá punição específica pelos crimes eletrônicos.
Já o outro projeto de lei aprovado, a Lei 12.735/12, também pode ser destacado. Esta lei, conhecida como Lei Azeredo, define que a polícia tem de ter um setor próprio e especializado, estruturado especificamente para combate de crimes eletrônicos e virtuais. A lei também define que é passível de punição aquele que publique na internet declarações racistas, ou discriminatórias em geral. Além disso, a Lei Azeredo afirma que falsificação de dados eletrônicos - com especial ênfase em crimes envolvendo fraudes com cartões de crédito ou débito - e traição por transferência de dados ao inimigo são crimes passíveis de reclusão e multa.
Percebe-se que o DDoS está incluso na Lei Carolina Dieckmann, uma vez que um de seus artigos afirma que " “Interrupção ou perturbação de serviço telegráfico, telefônico, informático, telemático ou de informação de utilidade pública” rende de um a três anos de prisão, além de multa.".
Porém, é altamente complexo identificar o atacante e provar sua culpa, uma vez que nem sempre há provas físicas, e provas digitais podem ser facilmente forjadas.
Outra questão é que, sendo possível executar um ataque envolvendo vários países, qual legislação deve ser considerada? E Pessoas cujas máquinas foram utilizadas no ataque sem seu consentimento ou conhecimento possuem culpa?