Cloudflare a autonomement atténué 18,2 millions d’attaques de couche réseau et 14,4 billions de requêtes HTTP au cours du troisième trimestre 2026. Ces chiffres représentent environ 8 226 attaques de couche réseau par heure, soit une attaque toutes les 0,44 seconde, selon les données de l’entreprise.
Cette période a vu une nette modification des tactiques des acteurs malveillants. Les attaques hyper-volumétriques, celles dépassant 1 Tbps, ont chuté de près de 69 % par rapport au deuxième trimestre. Cela coïncide avec des actions menées par les forces de l’ordre en début d’année contre quatre des plus gros botnets IoT, dont Aisuru, KimWolf, JackSkid et Mossad. Pourtant, les menaces persistent sous forme de « essaims » plus petits.
Les attaques à courte durée et à faible bande passante, signature des services de « booters » vendus sur le marché noir, ont bondi de 208 %. Ces assauts, qui durent moins de dix minutes et restent sous 1 Gbps, ciblent principalement les industries du logiciel, des casinos et de l’informatique.
Le pivot des vecteurs d’attaque
Le changement le plus visible concerne les protocoles utilisés. Les attaques basées sur CLDAP, qui avaient connu une forte augmentation au premier semestre, se sont effondrées, ne représentant que 0,05 % des attaques au T3. En contrepartie, l’amplification DNS a vu sa participation grimper de 215 %, atteignant 3,43 % de l’ensemble des attaques de couche réseau. Les inondations UDP générales ont aussi progressé, passant de 14,06 % à 31,31 % des attaques observées.
Ce glissement vers des protocoles sans connexion, comme le UDP, permet aux assaillants d’envoyer des paquets vers des ports aléatoires, forçant la cible à consommer ses ressources. Cloudflare note que les acteurs ont abandonné les tactiques de réflexion et d’amplification antérieures pour se concentrer sur ces vecteurs.
Un outil de veille pour les fournisseurs d’accès
Pour les opérateurs de télécommunications et les hébergeurs, il est souvent difficile d’identifier l’origine réelle des abus, surtout face aux attaques HTTPS, car le trafic chiffré empêche une analyse granulaire. Cloudflare propose un flux de menaces (DDoS Botnet Threat Feed) destiné aux fournisseurs de services.
Ce service permet aux opérateurs de recevoir des informations sur leurs propres adresses IP qui ont participé à des attaques DDoS HTTP, en indiquant le nombre de requêtes mitigées. Pour activer ce flux, le fournisseur doit configurer son ASN dans le tableau de bord de Cloudflare et obtenir un jeton API avec les permissions nécessaires. Ce service est gratuit pour les fournisseurs de services et leur donne une vue globale sur les abus, même si l’attaque globale était masquée par leur propre réseau.
Les données montrent aussi un élargissement des cibles géographiques. Si les États-Unis restent le pays le plus attaqué au T3 2026, le Canada et Israël ont vu leur classement monter significativement suite à des pics d’activité ciblée.
Sources
- About Cloudflare DDoS protection · Cloudflare DDoS Protection docs, developers.cloudflare.com
- DDoS Botnet Threat Feed for service providers · Cloudflare DDoS Protection docs, developers.cloudflare.com
- Cloudflare DDoS Threat Report 2026 Q3: More swarms, fewer giants, Cloudflare, 29 octobre 2026
- Cloudflare Reports 18.2 Million Network-Layer DDoS Attacks in Q3, Up 38%, The Hacker News, 31 octobre 2026