В третьем квартале 2026 года Cloudflare отразила 18,2 млн DDoS-атак. Число таких атак выросло на 208 процентов относительно того же квартала 2025 года. Отчёт вышел 29 октября и охватывает июль, август и сентябрь. В суточном пересчёте это около 8 226 атак в час, или одна атака каждые 0,44 секунды. На сетевом уровне компания отразила 272,6 ПБ трафика и 95,1 ПБ на HTTP-уровне, а число запросов, отнесённых к атакам, достигло 14,4 трлн.
Короткие атаки вместо рекордных объёмов
Профиль атак сместился к коротким и частым кампаниям. По данным Cloudflare, 96 процентов атак сетевого уровня завершились менее чем за десять минут, а 98 процентов не превысили 1 Гбит/с. Такой объём всё равно перегружает сервер или сайт без защиты. Cloudflare описывает этот характер атак как типичный для сервисов аренды DDoS-инструментов (booter). Чаще других целями становились разработчики программного обеспечения, игорный бизнес и казино, а также ИТ-компании.
Сверхобъёмные атаки повели себя иначе. Число атак мощнее 1 Тбит/с упало с 805 во втором квартале до 251 в третьем, почти на 69 процентов. Снижение совпало с действиями правоохранительных органов в начале 2026 года. Тогда закрыли четыре крупных ботнета интернета вещей: Aisuru, KimWolf, JackSkid и Mossad. Причинной связи Cloudflare не подтверждает и указывает лишь на совпадение по времени.
Сами ботнеты при этом не исчезли. В августе трафик семейства Mirai достиг 57,23 ПБ, или 46,5 процента всех отражённых байт. В четыре дня августа, 16, 19, 23 и 25-го, отражённый объём превышал три петабайта, а самая длительная атака шла 49,7 часа. Наряду с этим компания фиксирует новые варианты, Dysphoria и Evooo1Bot. Второй построен на коде Mirai и добавляет проксирование, кражу учётных данных и распространение через уязвимости.
Короткие кампании меняют расчёт рисков. Атака длиной в несколько минут не требует большой полосы, но попадает в момент пиковой нагрузки. Ручная реакция дежурной смены укладывается в такие сроки редко. Поэтому доступность сервиса всё чаще зависит от настроек автоматической фильтрации, а не от численности ИБ-команды. Формат аренды снижает порог для заказчика, так что инициатором выступает не только крупный противник.
Амплификация сместилась к DNS
Структура векторов изменилась резко. Атаки через CLDAP (облегчённый протокол доступа к каталогам без установления соединения) обвалились на 99,5 процента квартал к кварталу. На них пришлось лишь 0,05 процента атак сетевого уровня. Усиление через DNS выросло на 215 процентов и заняло 3,43 процента. Прочие UDP-флуды поднялись с 14,06 до 31,31 процента.
Оба механизма опираются на отражение и усиление, то есть амплификацию. Небольшой запрос с подменённым адресом жертвы возвращается к ней ответом в десятки раз больше. За один квартал доля одного вектора упала почти до нуля, а другого выросла более чем вдвое. Статические правила фильтрации устаревают быстрее, чем их успевают обновлять.
Отдельного внимания требует сам UDP. Протокол не устанавливает соединение, поэтому подходит для грубых объёмных атак. Жертва вынуждена проверять каждый пакет на наличие слушающего приложения и тратить на это ресурсы. Смещение к такому трафику означает, что операторам связи и хостинга придётся чаще пересматривать политики на периметре.
США вернули первое место по числу атак
География целей сдвинулась. Первое место заняли США, Китай опустился на второе, третье досталось Индонезии с 2,93 процента. Канада поднялась с 16-го места на шестое, Израиль вырос на семь позиций и занял десятое. Скачки Cloudflare связывает с торговыми спорами, предвыборной повесткой и праздничным периодом.
Отраслевая картина стала разнороднее. Медиа и издательское дело удержали первое место, но их доля сократилась примерно вчетверо к уровню второго квартала. В топ вошли интернет-инфраструктура, потребительские сервисы и контент для взрослых. Размывание цели означает, что защита нужна отраслям, которые раньше не считали себя приоритетом.
Ответ на такую нагрузку строится на автоматизации. Большинство атак завершается до того, как аналитик увидит оповещение, поэтому фильтрация работает без участия человека. Сеть компании насчитывает более 330 городов и 500 Тбит/с ёмкости. Бесплатную ленту данных о ботнетах получают свыше 800 сетей по всему миру, и для провайдеров такие данные сокращают время блокировки адресов-источников. Договорные обязательства по доступности и требования регуляторов к непрерывности сервисов повышают цену простоя.
Тенденция к массовости сохраняется. Число атак выросло кратно, тогда как средняя длительность и пиковый объём снизились. Крупные ботнеты не исчезли и возвращаются через новые варианты. Способность выдерживать частые короткие всплески становится базовым требованием к публичной инфраструктуре.
