Seguridad y DDoSCorrer con online-mode=false permite que la gente entre sin cuenta de Mojang. También elimina lo único que demuestra que un nombre pertenece a quien lo escribe, y eso trae consecuencias que tienes que cubrir tú.
Por qué pasa
Con la autenticación apagada, el nombre de usuario es el que el cliente diga que es. Cualquiera que sepa el nombre de tu administrador puede conectarse con ese nombre y heredar sus permisos. Nada en el servidor lo impide, porque ya no queda nada contra lo que comprobarlo.
Qué hacer
- Instala un plugin de autenticación antes de abrir el servidor
AuthMe Reloaded o equivalente. Configúralo antes de que entre el primer jugador, no después del primer incidente.
- Exige registro e inicio de sesión
Hasta que alguien se haya autenticado no debería poder moverse, hablar ni ejecutar comandos. Eso es lo que evita que suplantar un nombre acabe en una cuenta de operador.
- No des permisos solo por el nombre
En un servidor en modo offline un nombre es una afirmación, no una identidad. Ata los permisos de operador a cuentas que se hayan autenticado con tu plugin.
El modo offline es tu decisión, y el riesgo viene con ella. No nos hacemos responsables de mundos griefeados, cuentas de administrador suplantadas ni abuso de comandos en servidores con la autenticación desactivada.