Добро пожаловать в 26-й выпуск отчета Cloudflare об угрозах DDoS. В этом выпуске рассматривается третий квартал 2026 года — июль, август и сентябрь. Отчет возвращается к ежеквартальному циклу после объединения данных за первое полугодие 2026 года. Анализ подготовлен Cloudforce One, подразделением Cloudflare по анализу угроз, и представляет собой всесторонний обзор меняющегося ландшафта атак типа «распределенный отказ в обслуживании» (DDoS) на основе данных сети Cloudflare.
Ключевые выводы
- Короткие низкополосные атаки продолжительностью менее 10 минут и объемом до 1 Гбит/с выросли на 208%. И наоборот, гиперобъемные атаки, превышающие 1 Тбит/с, рухнули почти на 69% по сравнению со II кварталом, что, вероятно, является следствием действий правоохранительных органов против четырех крупных ботнетов Интернета вещей (IoT) в начале года. Тем не менее продолжают появляться новые варианты, доказывая, что IoT-ботнеты остаются устойчивой угрозой сетевой инфраструктуре с высокими объемами трафика.
- Злоумышленники кардинально изменили тактику отражения и амплификации, резко отказавшись от атак типа CLDAP, объем которых рухнул на 99,5% по сравнению с предыдущим кварталом. Вместо этого они активно переключились на другие протоколы без установления соединения, что спровоцировало рост амплификации DNS на 215% и увеличение общих UDP-флудов на 122%.
- Цели атак значительно расширились как по отраслям, так и по географическому признаку: Соединенные Штаты вернули себе первое место по количеству атак, опередив Китай. Канада и Израиль столкнулись с резким ростом целенаправленных атак (поднявшись на 10 и 7 позиций соответственно) на фоне геополитической напряженности, торговых споров и спорных внутренних событий. В то же время операционный фокус сместился с медиаорганизаций на более широкий круг отраслей, включая потребительские услуги, интернет-инфраструктуру и индустрию развлечений для взрослых.
III квартал в цифрах: 8200 DDoS-атак каждый час
В третьем квартале 2026 года в своей сети Cloudflare в автономном режиме отразила 18,2 миллиона сетевых DDoS-атак и 14,4 триллиона HTTP DDoS-запросов. Это составляет примерно 8226 DDoS-атак сетевого уровня в час, или около 197 400 в день — по одной атаке каждые 0,44 секунды. Общий объем отраженного за квартал трафика составил 272,6 ПБ на сетевом уровне и 95,1 ПБ на уровне HTTP.
Больше «роев», меньше гигантов
Короткие атаки средней интенсивности с большим количеством запросов — операционный почерк арендуемых DDoS-сервисов (booter) — в этом квартале усилились. Эти атаки были направлены главным образом на компьютерное программное обеспечение, игорный бизнес и казино, а также индустрию информационных технологий. В III квартале 2026 года Cloudflare в автономном режиме отразила 18,2 миллиона сетевых DDoS-атак, что на 208% больше по сравнению с тем же кварталом 2025 года:
- 96% завершились менее чем за 10 минут;
- 98% не превысили 1 Гбит/с, чего более чем достаточно для вывода из строя сервера или веб-сайта.
С другой стороны, гиперобъемные атаки сетевого уровня (превышающие 1 Тбит/с) изменили тенденцию, снизившись до 251 атаки в III квартале против 805 во II квартале, что совпало с действиями правоохранительных органов в начале 2026 года, которые ликвидировали четыре крупнейших IoT DDoS-ботнета: Aisuru, KimWolf, JackSkid и Mossad.
Тем не менее ботнеты на базе IoT остаются устойчивой угрозой с большими объемами трафика, поскольку экосистема порождает новые варианты, такие как Dysphoria и Evooo1Bot. Объем смягченного трафика для классифицированных угроз Mirai достиг пика в августе на отметке 57,23 ПБ, что составило 46,5% всех байт сетевого уровня, отраженных в III квартале, включая четыре дня (16, 19, 23 и 25 августа), в каждый из которых было очищено более трех петабайт. Самая продолжительная непрерывная атака Mirai за квартал длилась 49,7 часа в период с 19 по 21 августа.
Сдвиги векторов: крах CLDAP и рост UDP
Самым резким изменением вектора в квартале стало падение. Атаки CLDAP (Connectionless Lightweight Directory Access Protocol), когда небольшие запросы со спуфинг-IP-адресом жертвы обманом заставляют общедоступные контроллеры домена (UDP 389) отражать огромные, усиленные ответы обратно на цель, продемонстрировали резкий рост на 580% по сравнению с предыдущим кварталом в первой половине года, прежде чем рухнуть всего до 0,05% от общего числа атак в III квартале.
Между тем амплификация DNS выросла на 215% и составила 3,43% от всех атак сетевого уровня, используя открытые DNS-резолверы по аналогичной схеме отражения и амплификации, что и CLDAP: небольшие поддельные запросы, крупные ответы, направленные на жертву. Другие UDP-флуды выросли с 14,06% до 31,31% среди атак сетевого уровня. UDP — это транспортный протокол без установления соединения, что делает его удобным инструментом для атак на основе чистого объема: злоумышленники отправляют большое количество UDP-пакетов на случайные или определенные порты цели, заставляя ее проверять наличие прослушивающего приложения и отвечать, истощая ее сетевые и вычислительные ресурсы.
Наиболее атакованная отрасль
Хотя сектор «Медиа, производство и издательство» оставался наиболее атакованным в III квартале 2026 года, его общая доля составляет примерно четверть от уровня II квартала, а фокус сместился на более широкий набор отраслей. Сектор «Интернет» поднялся из нижней части топ-10 на 6-е место; «Потребительские услуги» и «Развлечения для взрослых» также поднялись, достигнув 8-го и 9-го мест соответственно.
Наиболее атакованные локации
Географические всплески: Канада и Израиль поднимаются в рейтинге
Вдобавок к и без того турбулентному периоду двусторонних торговых споров Канада поднялась с 16-го места на 6-е, что было вызвано атаками на ее розничную торговлю, телекоммуникации, сферу услуг и операторов связи, а также индустрию маркетинга и рекламы.
Израиль поднялся на 7 позиций и занял 10-е место в результате непрекращающейся DDoS-активности в середине сентября. Хотя этот период ознаменовался спорными решениями в преддверии парламентских выборов и праздника Рош ха-Шана, в этом году также наблюдался массовый задокументированный всплеск враждебных кибератак, направленных против Израиля.
Топ-10
Соединенные Штаты стали самой атакованной локацией в III квартале 2026 года, в то время как Китай занял 2-е место, а Индонезия поднялась в тройку лидеров с 2,93% от общего числа атак. Лидирующая пара США — Китай совпадает с ситуацией в первой половине 2026 года, когда Китай занял 1-е место, а США — 2-е; эти страны менялись местами по мере изменения внимания и предпочтений злоумышленников.
Укрепление глобальной защиты и помощь в защите Интернета
Сеть Cloudflare спроектирована так, чтобы поглощать подобный рост угроз DDoS. Каждая служба в нашей сети защищена бесплатной безлимитной защитой от DDoS, которая работает по умолчанию и поддерживается пропускной способностью сети в 500 Тбит/с. Автономность — это главное: наши системы обнаруживают и отражают атаки без вмешательства человека. И это необходимо, поскольку, как показывают распределения этого квартала, большинство атак заканчиваются задолго до того, как человеческий аналитик успевает увидеть оповещение, а крупнейшие атаки все еще регулярно превышают 1 Тбит/с с частотой, измеряемой сотнями за квартал.
Чтобы помочь хостинг-провайдерам, платформам облачных вычислений и интернет-провайдерам выявлять и пресекать вредоносные IP-адреса и учетные записи, которые инициируют эти атаки, мы используем уникальные возможности Cloudflare в наблюдении за DDoS-атаками для предоставления бесплатной ленты данных об угрозах DDoS-ботнетов для поставщиков услуг.
Более 800 сетей по всему миру подписались на этот фид, и мы уже наблюдаем отличное сотрудничество в рамках сообщества по ликвидации узлов ботнетов. Актуальную информацию о тенденциях атак в Интернете можно найти на странице Cloudflare Radar.
О Cloudforce One
Руководствуясь миссией помогать защищать Интернет, Cloudforce One опирается на телеметрию глобальной сети Cloudflare, которая защищает более 20% веб-ресурсов, для проведения исследований угроз и оперативного реагирования, защищая критически важные системы для миллионов организаций по всему миру.
