Cloudflare a publié son 26e rapport sur les menaces DDoS, couvrant le troisième trimestre de 2026, qui révèle un changement distinct dans les schémas d'attaque caractérisé par des frappes plus fréquentes et plus petites plutôt que par d'énormes événements volumétriques. Pendant juillet, août et septembre, l'entreprise a atténué de manière autonome 18,2 millions d'attaques DDoS au niveau du réseau et 14,4 billions de requêtes HTTP. Ce volume équivaut à environ 8 226 attaques au niveau du réseau par heure, soit une attaque toutes les 0,44 seconde, le trafic total atténué atteignant 272,6 pétaoctets au niveau du réseau.
Les données indiquent une augmentation spectaculaire des attaques à courte durée et faible bande passante, d'une durée inférieure à 10 minutes et restant en dessous de 1 Gbps, qui ont bondi de 208 % par rapport à la même période en 2025. Ces frappes rapides, souvent associées à des services DDoS sur commande, ont principalement ciblé les secteurs des logiciels informatiques, des jeux d'argent et des technologies de l'information. À l'inverse, les attaques hypervolumétriques dépassant 1 Tbps ont chuté de près de 69 % par rapport au trimestre précédent, passant de 805 incidents au T2 à seulement 251 au T3. Cette baisse coïncide avec des actions des forces de l'ordre début 2026 qui ont démantelé quatre méga-botnets IoT : Aisuru, KimWolf, JackSkid et Mossad.
Malgré la réduction des méga-botnets, les menaces basées sur l'IoT restent durables alors que de nouvelles variantes comme Dysphoria et Evooo1Bot émergent. Les attaques classées Mirai ont atteint leur pic en août, représentant 46,5 % de tous les octets atténués au niveau du réseau ce trimestre-là. L'attaque Mirai la plus longue enregistrée durant cette période a duré près de 50 heures entre le 19 et le 21 août.
Les vecteurs d'attaque ont également subi une transformation significative. Les inondations CLDAP, qui avaient augmenté plus tôt dans l'année, se sont effondrées de 99,5 % par rapport au trimestre précédent, ne représentant que 0,05 % des attaques au T3. Les acteurs malveillants se sont plutôt tournés vers d'autres protocoles sans connexion, entraînant une augmentation de 215 % des amplifications DNS et une hausse de 122 % des inondations UDP générales. Ces méthodes exploitent les résolveurs ouverts et la nature du protocole UDP pour consommer les ressources de la cible sans établir de connexions.
Sur le plan géographique et industriel, le paysage s'est considérablement élargi. Les États-Unis ont repris la position de lieu le plus attaqué à la Chine, qui est tombée en deuxième place, tandis que l'Indonésie a grimpé dans le top trois. Le Canada et Israël ont connu des augmentations nettes d'attaques ciblées, progressant respectivement de 10 et 7 places. Ces pics au Canada étaient liés à des attaques contre les secteurs de la vente au détail et des télécommunications au milieu de différends commerciaux, tandis que la hausse en Israël s'est produite pendant une période de tensions géopolitiques et d'événements nationaux avant les élections législatives.
En termes de cibles industrielles, les secteurs Média, Production et Édition sont restés le plus attaqué, mais leur part a chuté à environ un quart de son niveau du T2. L'attention s'est déplacée vers un éventail plus large d'industries, l'infrastructure Internet passant à la sixième place, tandis que les Services aux consommateurs et le Divertissement pour adultes sont entrés dans le top dix. Cloudflare a noté que son réseau mondial, s'étendant sur plus de 330 villes avec une capacité de 500 Tbps, est conçu pour gérer cette atténuation autonome, la plupart des attaques se terminant avant que les analystes humains ne puissent intervenir.
Sources: Cloudflare Blog.